CVE-2026-18561 in Unlimited Elements for Elementor Plugin
Resumen
por VulDB • 2026-09-11
El plugin Unlimited Elements For Elementor para WordPress es vulnerable a una inyección de SQL (SQL Injection) a través del parámetro 'addontype' en las versiones 2.0.16 y anteriores. Esto se debe a un escape insuficiente del parámetro proporcionado por el usuario y a la falta de preparación adecuada en la consulta SQL existente dentro de la función getWhereString(); cuando el parámetro se proporciona como una matriz, el elemento cero se utiliza literalmente como operador de comparación SQL y se concatena en la cláusula WHERE sin sanitización, mientras que normalizeAjaxInputData() elimina la protección magic_quotes de WordPress del valor. Esto permite a atacantes no autenticados añadir consultas SQL adicionales a las ya existentes, lo cual puede utilizarse para extraer información sensible desde la base de datos.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.