невзлом

К сведению · WordPress Unlimited Elements

CVE-2026-116558 — Unlimited Elements ≤2.0.26 stored XSS via RSS widget, fix 2.0.28

· CVE-2026-116558

← Простая версия для всех

Суть

Stored XSS в обработке RSS для виджета каталога ленты. CNA Wordfence (NVD): versions through 2.0.26; PR:N — атакующему не нужна учётная запись на сайте; условие — администратор направил RSS-виджет на URL ленты, который контролирует атакующий; скрипт срабатывает при открытии страницы с виджетом. CVSS 7.2. Детали sink/preprocessor и примеры payload — вне публикации.

Затронуто и исправлено

КомпонентУязвимо (CNA)Закрытие
Unlimited Elements for Elementor (free)≤ 2.0.26≥ 2.0.28
Unlimited Elements Proтот же ориентир≥ 2.0.28 (свой канал, не .org)

Free slug: unlimited-elements-for-elementor. Pro slug: unlimited-elements-pro (уведомление Freemius / zip из кабинета). Активных установок free на wordpress.org — 300,000+. Changelog 2.0.28 (03.11.2026) явно чистит RSS-поля до шаблона. 2.0.27 в CNA как уязвимая не названа, но RSS-fix там не описан — для парка ставьте ≥ 2.0.28.

Эксплуатация

  • CISA KEV — нет.
  • Подтверждённых атак в ленте/wordpress.org — нет.
  • Write-up / trac с строками кода / PoC — не ссылать.

Как проверить

# Парк: сначала оба slug
wp plugin list --fields=name,status,version | grep -E 'unlimited-elements'

# Free
wp plugin get unlimited-elements-for-elementor --fields=name,status,version

# Pro (если установлен)
wp plugin get unlimited-elements-pro --fields=name,status,version

# митигация: status ≠ active; закрыто патчем: version ≥ 2.0.28

UI: Плагины → карточка версии. Затем точечно: страницы Elementor с RSS Feed catalog — URL ленты свои/доверенные.

Как исправить

  1. Staging → free: wp plugin update unlimited-elements-for-elementor (или UI). Pro: обновление через Freemius/кабинет / замена zip ≥2.0.28 (канал .org Pro не закрывает). Smoke страниц с RSS-виджетом и ключевых Elementor-страниц; при кривой вёрстке — сброс CSS/кэша Elementor, повторный smoke.
  2. Prod: бэкап → update → smoke.
  3. Массово: обойти инстансы (wp plugin list / Ansible), free через wp plugin update, Pro — своим пайплайном артефакта; критерий done — version ≥2.0.28 или deactivate + тикет на апгрейд.
  4. Update недоступен: deactivate соответствующего slug или убрать RSS-виджет / сменить URL ленты; согласовать апгрейд до ≥ 2.0.28.

Автообновление плагинов WP по умолчанию выкл.; включённый auto-update .org дотягивает только free. Не считать парк закрытым, пока free и Pro не сверены по версии.

Если обновить нельзя

Отдельного официального hotfix кроме релиза плагина нет. Compensating: deactivate / удалить виджет RSS с непроверенных feed URL. WAF-правило агрегатора как замену патчу не обещать.

Признаки взлома и что делать

IoC вендор/CNA не публиковали. При подозрении на XSS на страницах с лентой: обновить плагин; проверить контент страниц и пользователей с elevated roles; ротация сессий/паролей админов по политике клиента. Одного обновления после подтверждённого инцидента мало.

Источники