Критическая SQL-инъекция в WordPress-плагине Unlimited Elements For Elementor (CVE-2026-103355)
В плагине Unlimited Elements For Elementor (Free Widgets, Addons, Templates) обнаружена уязвимость SQL-инъекции с оценкой CVSS 9.3 (CRITICAL). Под угрозой находятся сайты на WordPress с версиями плагина до 2.0.20 включительно. Уязвимость позволяет проводить слепые SQL-инъекции и требует незамедлительного устранения.
Подробности
Уязвимость затрагивает плагин Unlimited Elements For Elementor (Free Widgets, Addons, Templates) во всех версиях от неустановленной начальной (n/a) вплоть до 2.0.20 включительно. Согласно описанию CVE, речь идёт о слепой SQL-инъекции (Blind SQL Injection), которая возникает из-за недостаточной нейтрализации специальных элементов, используемых в SQL-командах. Оценка по шкале CVSS составляет 9.3, что соответствует критическому уровню опасности. Столь высокий балл указывает на серьёзный риск: успешная эксплуатация может позволить злоумышленнику извлекать данные из базы данных WordPress, включая потенциально чувствительную информацию — учётные записи пользователей, хэши паролей, содержимое таблиц и другие сведения. Поскольку плагин предназначен для расширения возможностей конструктора Elementor и широко используется для добавления виджетов, шаблонов и аддонов, под потенциальный удар попадает значительное число сайтов. Наличие бесплатной версии делает плагин особенно распространённым среди владельцев небольших сайтов и блогов.Что делать
Главная рекомендация — как можно скорее обновить плагин Unlimited Elements For Elementor до версии, в которой уязвимость устранена. Если на момент прочтения исправленная версия ещё не выпущена, следует рассмотреть временные меры защиты: - ограничить доступ к административной панели WordPress по IP-адресам и включить двухфакторную аутентификацию; - использовать WAF (Web Application Firewall) с правилами фильтрации SQL-инъекций; - временно деактивировать плагин, если он не критичен для работы сайта, до выхода патча; - регулярно проверять официальные каналы разработчика плагина на предмет обновлений безопасности. Также рекомендуется провести аудит базы данных и журналов доступа на предмет подозрительной активности, если сайт длительное время работал с уязвимой версией плагина. Итог: CVE-2026-103355 — серьёзная угроза для сайтов на WordPress, использующих Unlimited Elements For Elementor версий до 2.0.20 включительно. Критический уровень CVSS 9.3 и возможность слепой SQL-инъекции требуют незамедлительных действий: обновления плагина или применения компенсирующих мер защиты. Промедление повышает риск утечки данных и полной компрометации ресурса.Источник: CVE Project (cvelistV5)