Уязвимость XSS в плагине Unlimited Elements For Elementor (CVE-2026-103342)
В плагине Unlimited Elements For Elementor (Free Widgets, Addons, Templates) обнаружена уязвимость отражённого межсайтового скриптинга (Reflected XSS). Под угрозой находятся сайты на WordPress с версиями плагина до 2.0.20 включительно. Уязвимости присвоен высокий уровень критичности — CVSS 7.1.
Подробности
Уязвимость получила идентификатор CVE-2026-103342 и связана с некорректной нейтрализацией пользовательского ввода при генерации веб-страниц (Improper Neutralization of Input During Web Page Generation). Речь идёт о так называемом отражённом XSS (Reflected XSS): вредоносный скрипт внедряется через специально сформированный запрос и исполняется в браузере жертвы при переходе по ссылке. Затронуты все версии плагина Unlimited Elements For Elementor (Free Widgets, Addons, Templates) вплоть до 2.0.20 включительно. Производитель не указал конкретную версию, с которой началась проблема (в записи CVE диапазон обозначен как «from n/a through 2.0.20»), поэтому безопасным можно считать только релиз новее 2.0.20. Уязвимости присвоен базовый балл CVSS 7.1, что соответствует высокому уровню опасности. Успешная эксплуатация позволяет атакующему выполнить произвольный JavaScript в контексте сессии пользователя. Это открывает возможности для кражи cookie-файлов и токенов аутентификации, подмены содержимого страниц, перенаправления на фишинговые ресурсы и выполнения действий от имени администратора сайта. Особую опасность уязвимость представляет для сайтов, где плагин активирован и доступен для взаимодействия с пользовательским вводом. Даже при отсутствии прямой компрометации сервера XSS-атака может привести к утечке конфиденциальных данных и репутационным потерям.Что делать
Основная рекомендация — как можно скорее обновить плагин Unlimited Elements For Elementor (Free Widgets, Addons, Templates) до версии выше 2.0.20. Актуальный релиз содержит исправление, устраняющее некорректную обработку ввода. Если обновление по каким-либо причинам невозможно, следует рассмотреть временные меры:- ограничить доступ к административной панели WordPress по IP-адресам;
- внедрить строгую политику Content Security Policy (CSP), блокирующую выполнение inline-скриптов;
- использовать WAF с правилами для фильтрации подозрительных запросов, содержащих XSS-векторы;
- провести аудит логов веб-сервера на предмет попыток эксплуатации уязвимости.
Источник: CVE Project (cvelistV5)