CVE-2026-18561 in Unlimited Elements for Elementor Plugin
Résumé
par VulDB • 11/09/2026
Le plugin Unlimited Elements For Elementor pour WordPress est vulnérable à une injection SQL via le paramètre 'addontype' dans les versions 2.0.16 et inférieures. Cela est dû à un échappement insuffisant du paramètre fourni par l'utilisateur et au manque de préparation adéquate de la requête SQL existante dans la fonction getWhereString() ; lorsque ce paramètre est fourni sous forme de tableau, le premier élément (index 0) est utilisé tel quel comme opérateur de comparaison SQL et concaténé à la clause WHERE sans sanitisation, tandis que normalizeAjaxInputData() supprime la protection magic_quotes de WordPress pour cette valeur. Cela permet aux attaquants non authentifiés d'ajouter des requêtes SQL supplémentaires aux requêtes existantes, ce qui peut être utilisé pour extraire des informations sensibles depuis la base de données.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.