CVE-2026-4362
Açıklama
WordPress için geliştirilen ElementsKit Elementor Addons eklentisi, 3.8.2 sürümü dahil tüm önceki sürümlerde `Live_Action::reset()` fonksiyonundaki yetenek kontrolü eksikliği nedeniyle verilerin yetkisiz şekilde değiştirilmesine karşı savunmasızdır. Fonksiyon, WordPress `init` aksiyonuna bağlanmıştır ve herhangi bir kimlik doğrulama veya nonce doğrulaması olmaksızın hem `post` hem de `action=elementor` GET parametreleri mevcut olduğunda tetiklenir. Bu durum, kimlik doğrulaması yapmamış saldırganların özel olarak hazırlanmış bir URL'yi ziyaret ederek herhangi bir `elementskit_widget` özel yazı tipinin Elementor içeriğini (`_elementor_data`) üzerine yazmasını mümkün kılar. Widget'ın özel tasarımları, metinleri ve yapılandırmaları kalıcı olarak boş bir şablonla değiştirilir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| roxnor ElementsKit Elementor Addons – Advanced Widgets & Templates Addons for Elementor | v ≤ 3.8.2 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.