Уязвимость XSS в плагине Unlimited Elements For Elementor (CVE-2026-103344)
В плагине Unlimited Elements For Elementor (Free Widgets, Addons, Templates) для WordPress обнаружена уязвимость отражённого межсайтового скриптинга (Reflected XSS). Проблема затрагивает версии плагина вплоть до 2.0.20 включительно. Уязвимости присвоен высокий уровень критичности — CVSS 7.1.
Подробности
Уязвимость получила идентификатор CVE-2026-103344 и классифицирована как Improper Neutralization of Input During Web Page Generation, то есть отражённый межсайтовый скриптинг (Reflected XSS). Согласно описанию, проблема возникает из-за недостаточной нейтрализации пользовательского ввода при генерации веб-страниц. Уязвимости подвержены все версии плагина Unlimited Elements For Elementor (Free Widgets, Addons, Templates) от n/a до 2.0.20 включительно. Это означает, что администраторам сайтов, на которых установлена указанная версия или более ранние, следует незамедлительно принять меры. Уровень критичности оценивается как высокий — базовый показатель CVSS 7.1. Отражённый XSS позволяет злоумышленнику внедрить вредоносный скрипт в ответ сервера, который затем исполняется в браузере жертвы. На практике это может привести к краже сессионных данных, подмене содержимого страницы, перенаправлению пользователей на фишинговые ресурсы или выполнению действий от имени авторизованного пользователя. Для эксплуатации обычно требуется убедить жертву перейти по специально сформированной ссылке, однако успешная атака может затронуть как обычных посетителей, так и администраторов сайта.Что делать
Основная рекомендация — обновить плагин Unlimited Elements For Elementor (Free Widgets, Addons, Templates) до актуальной версии, в которой уязвимость устранена. Поскольку в записи CVE указано, что проблема затрагивает версии вплоть до 2.0.20, безопасным решением будет установка более новой сборки, выпущенной разработчиком. Если обновление по каким-либо причинам невозможно, следует рассмотреть временные меры защиты: — ограничить доступ к административной панели WordPress по IP-адресам; — использовать WAF (веб-приложение firewall) с правилами фильтрации XSS-векторов; — внимательно проверять входящие ссылки и не переходить по подозрительным URL, особенно ведущим на страницы сайта с параметрами запроса; — проводить регулярный аудит установленных плагинов и удалять неиспользуемые расширения. Также рекомендуется отслеживать официальные уведомления разработчика плагина и базы уязвимостей на предмет появления патча или дополнительных сведений. Итог: CVE-2026-103344 — серьёзная уязвимость отражённого XSS в плагине Unlimited Elements For Elementor (Free Widgets, Addons, Templates) версий до 2.0.20 включительно. Высокий показатель CVSS 7.1 делает её значимой угрозой для сайтов на WordPress. Своевременное обновление плагина и применение компенсирующих мер позволят снизить риски эксплуатации.Источник: CVE Project (cvelistV5)