CVE-2026-110537 Cambio de estado de aprobación de usuarios entre sitios en Essential Addons for Elementor vía acción masiva

Qué es CVE-2026-110537

El plugin Essential Addons for Elementor para WordPress, anterior a 6.8.7, no verifica que un administrador pueda gestionar las cuentas de usuario concretas apuntadas por su función de aprobación de inicio de sesión, sino solo una capacidad a nivel de sitio. En WordPress Multisite esto podría permitir a un administrador de un subsitio cambiar el estado de aprobación y de inicio de sesión de cuentas de otros sitios de la red. Corregido en 6.8.7.

Productos y versiones afectadas

• Essential Addons for Elementor

  • hasta antes de 6.8.7

Qué hacer

1. Verificá si usás Essential Addons for Elementor y en qué versión: el rango afectado figura arriba.
2. Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
3. Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.

Calculadora CVSS

CVSS 3.1 · 3.8 BAJA

CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:N/I:L/A:L

VECTOR DE ATAQUE (AV)

Red

COMPLEJIDAD DEL ATAQUE (AC)

Baja

PRIVILEGIOS REQUERIDOS (PR)

Altos

INTERACCIÓN DEL USUARIO (UI)

Ninguna

ALCANCE (S)

Sin cambio

CONFIDENCIALIDAD (C)

Ninguna

INTEGRIDAD (I)

Baja

DISPONIBILIDAD (A)

Baja

Abrir la calculadora completa →

Descripción original

The Essential Addons for Elementor WordPress plugin before 6.8.7 does not verify that an administrator may manage the specific user accounts targeted by its login-approval feature, checking only a site-level capability, which on WordPress Multisite could allow a subsite administrator to change the approval and login state of accounts belonging to other sites on the network.

Referencias

• wpscan.com/vulnerability/672ddaeb-b42f-4b8b-83ce-83e15899d651/EXPLOIT · VDB-ENTRY · TECHNICAL-DESCRIPTION

Historial de la alerta

1. 23 OCT · 04:24VULNERABILIDAD Nueva vulnerabilidad detectada.

CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.