CVE-2026-18561 in Unlimited Elements for Elementor Plugin
Сводка
по VulDB • 11.09.2026
Плагин Unlimited Elements For Elementor для WordPress уязвим к SQL-инъекции через параметр 'addontype' в версиях вплоть до 2.0.16 включительно. Это связано с недостаточной экранизацией пользовательского ввода и отсутствием достаточной подготовки существующего SQL-запроса в функции getWhereString(); когда параметр передается как массив, нулевой элемент используется дословно в качестве оператора сравнения SQL и конкатенируется в предложение WHERE без санитизации, тогда как normalizeAjaxInputData() удаляет защиту magic_quotes WordPress из значения. Это позволяет неавторизованным злоумышленникам добавлять дополнительные SQL-запросы к уже существующим запросам, которые могут быть использованы для извлечения конфиденциальной информации из базы данных.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.