CVE-2026-116558 Cross-site scripting almacenado en Unlimited Elements for Elementor hasta 2.0.26 vía widget RSS
El contenido title/description de un feed RSS controlado por el atacante no se sanea ni escapa correctamente. Atacantes no autenticados pueden inyectar scripts que se ejecutan cuando un usuario accede a la página, si el administrador colocó el widget RSS Feed apuntando a un feed del atacante. Afecta a versiones hasta la 2.0.26 inclusive.
CVSS 3.1
- Probabilidad de explotación · EPSS del 09/110,2 % · percentil 15
- Explotada activamenteNo confirmada
- Exploit públicoNo conocido
Afectados
unitecms Unlimited Elements for Elementor
hasta 2.0.26
Qué hacer
- Verificá si usás Unlimited Elements for Elementor y en qué versión.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Calculadora CVSS
CVSS 3.1 · 7.2 ALTA
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:L/I:L/A:N
- Vector de ataqueRed
- Complejidad del ataqueBaja
- Privilegios requeridosNinguno
- Interacción del usuarioNinguna
- AlcanceCambiado
- ConfidencialidadBaja
- IntegridadBaja
- DisponibilidadNinguna
Descripción original
The Unlimited Elements for Elementor plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the '<title>/<description> inside the attacker-controlled RSS feed body' parameter in all versions up to, and including, 2.0.26 due to insufficient input sanitization and output escaping. This makes it possible for unauthenticated attackers to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. This is exploitable against any site whose administrator has placed the RSS Feed catalog widget pointing at a feed URL the attacker controls, as the plugin's own 2.0.25 escaping pre-processor intentionally excludes |raw prints in element content positions from its escaping logic, and XML entity-encoded payloads in feed item titles are decoded back to raw markup before reaching the sink.
Referencias (6)
- www.wordfence.com/threat-intel/vulnerabilities/id/07129ff6-0bbd-4717-842c-6d50a19eca39?so…
- plugins.trac.wordpress.org/browser/unlimited-elements-for-elementor/tags/2.0.26/inc_php/u…
- plugins.trac.wordpress.org/browser/unlimited-elements-for-elementor/tags/2.0.26/inc_php/u…
- plugins.trac.wordpress.org/browser/unlimited-elements-for-elementor/tags/2.0.26/inc_php/u…
- wordpress.org/plugins/unlimited-elements-for-elementor/
- plugins.trac.wordpress.org/changeset/3782097/unlimited-elements-for-elementor/trunk/inc_p…
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.