CVE-2026-18561 in Unlimited Elements for Elementor Plugin
Zusammenfassung
von VulDB • 11.09.2026
Das Plugin Unlimited Elements For Elementor für WordPress ist in den Versionen bis einschließlich 2.0.16 anfällig für SQL Injection über den Parameter 'addontype'. Dies liegt an der unzureichenden Maskierung des benutzereingebenen Parameters und dem Fehlen einer ausreichenden Vorbereitung der bestehenden SQL-Abfrage in der Funktion getWhereString(). Wenn der Parameter als Array bereitgestellt wird, wird das Element mit Index 0 wörtlich als SQL-Vergleichsoperator verwendet und ohne Sanitisierung in die WHERE-Klausel konkateniert, während normalizeAjaxInputData() den Schutz durch WordPress's magic_quotes vom Wert entfernt. Dies ermöglicht es nicht authentifizierten Angreifern, zusätzliche SQL-Abfragen an bereits bestehende Abfragen anzuhängen, um sensible Informationen aus der Datenbank zu extrahieren.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.