CVE-2026-18561 in Unlimited Elements for Elementor Plugin
Sumário
de VulDB • 11/09/2026
O plugin Unlimited Elements For Elementor para o WordPress é vulnerável a injeção de SQL (SQL Injection) por meio do parâmetro 'addontype' nas versões até, e incluindo, 2.0.16. Isso ocorre devido à falta de escape adequado no parâmetro fornecido pelo usuário e à ausência de preparação suficiente na consulta SQL existente na função getWhereString(); quando o parâmetro é fornecido como um array, o elemento zero é usado literalmente como operador de comparação SQL e concatenado na cláusula WHERE sem sanitização, enquanto normalizeAjaxInputData() remove a proteção magic_quotes do WordPress do valor. Isso permite que atacantes não autenticados anexem consultas SQL adicionais às consultas já existentes, as quais podem ser usadas para extrair informações sensíveis do banco de dados.
If you want to get best quality of vulnerability data, you may have to visit VulDB.