Плагин Unlimited Elements ниже 2.0.28 — обновите, если на сайте есть виджет RSS
Коротко. В популярном наборе виджетов для Elementor — Unlimited Elements for Elementor — закрыта ошибка, из‑за которой вредоносная RSS-лента (новости/записи с другого сайта) могла оставить на странице чужой скрипт. Исследователи отдельно называют уязвимыми версии до 2.0.26 включительно; надёжный ориентир «уже закрыто» — 2.0.28 или новее (в том числе если у вас стоит 2.0.27). Риск выше, если виджет RSS смотрит на адрес ленты, который вы не контролируете. Исправление в списке изменений плагина — от 3 ноября 2026. Подтверждённых атак нет.
Касается ли это вас.
- Да, если стоит Unlimited Elements for Elementor (free или Pro) и версия ниже 2.0.28.
- Риск выше, если на страницах есть виджет ленты RSS с адресом, который вы сами не задавали или не контролируете.
- Скорее нет, если плагина нет или уже стоит 2.0.28 или новее.
- Не знаете — в админке откройте «Плагины» и найдите именно Unlimited Elements for Elementor (не путать с самим Elementor), либо перешлите статью тому, кто ведёт сайт.
Чем грозит. На странице с таким виджетом у посетителя или редактора может выполниться чужой скрипт — типичный риск XSS (подмена того, что видно на сайте в браузере). Это не «автоматический захват сервера одним кликом», но для сайта с клиентами достаточно неприятно.
Что сделать в первую очередь.
- Войдите в админку WordPress → «Плагины».
- Найдите Unlimited Elements for Elementor (или Pro с похожим именем). Если номер ниже 2.0.28 — нажмите «Обновить» у этой строки.
- После обновления откройте страницу с RSS-виджетом и проверьте, что лента отображается нормально.
Получилось, если в списке плагинов видна версия не ниже 2.0.28. Не получается — см. ниже; «патчи» с форумов не ставьте.
Что сделать во вторую очередь.
- Просмотрите, куда смотрят RSS-виджеты: только свои или проверенные ленты.
- Включите автообновление для этого плагина, если политика сайта позволяет (у Pro автообновление с wordpress.org само не приедет).
- Если сайт долго был ниже 2.0.28 с внешней лентой и заметили странные вставки или редиректы — не ограничивайтесь обновлением: проверьте список админов и смените их пароли.
Если сразу не получается.
- Нет прав на обновление — отправьте готовый текст подрядчику или на хостинг.
- Обновление конфликтует с темой — временно отключите виджет RSS или сам плагин, пока не поставят 2.0.28+.
- Боитесь ломать вёрстку — сначала копия сайта, потом обновление.
Готовый текст для того, кто ведёт сайт.
Здравствуйте! Нужно обновить плагин WordPress «Unlimited Elements for Elementor» (обычный или Pro) до версии 2.0.28 или новее. Причина: CVE-2026-116558 — через виджет RSS чужая лента могла оставлять скрипт на странице; исследователи отмечают риск для версий до 2.0.26 включительно, закрытие — 2.0.28. Подтверждённых атак нет. Если обновить сразу нельзя — отключите плагин или уберите виджет RSS с непроверенных адресов ленты. Подробности для специалиста: https://nevzlom.ru/ru/tech/2026-11-07-unlimited-elements/. Спасибо!
Версия для айтишника: https://nevzlom.ru/ru/tech/2026-11-07-unlimited-elements/
Источник. Unlimited Elements for Elementor на WordPress.org (актуальная 2.0.28, changelog). Номер CVE-2026-116558 и оценка Wordfence (CNA) — текстом, без ссылок на агрегаторы.