Laag · 3.1 WordPress CVE-2026-110510 CVE-2026-110537
Essential Addons for Elementor vóór 6.8.7: twee kwetsbaarheden in toegangscontrole met lage ernst
De WordPress-plugin Essential Addons for Elementor, gebruikt op ruim een miljoen websites, bevat twee kwetsbaarheden met lage ernst die zijn opgelost in versie 6.8.7: een ongevalideerde HTML-tag-instelling waarmee gebruikers met de rol Auteur iframe- en formulierelementen kunnen injecteren, en een autorisatiefout in Multisite-omgevingen waarbij beheerders van subsites de login-goedkeuringsstatus van accounts op andere sites binnen het netwerk kunnen wijzigen.
AI-samenvatting
Er zijn twee kwetsbaarheden bekendgemaakt in Essential Addons for Elementor, een WordPress-plugin die volgens gegevens van WPVulnerability op meer dan een miljoen websites wordt gebruikt. Beide problemen zijn als opgelost geregistreerd in versie 6.8.7 en werden gepubliceerd op 23 oktober 2026. Geen van beide kwetsbaarheden wordt als ernstig beoordeeld, en beide vereisen dat een aanvaller al over een verhoogde rol op de website beschikt.
Wat is er gebeurd
In Essential Addons for Elementor zijn twee afzonderlijke, naar CWE geclassificeerde problemen vastgesteld. CVE-2026-110510 betreft het niet valideren van de HTML-tag-instelling die door sommige widgets van de plugin wordt gebruikt voordat deze wordt ingezet om paginamarkup op te bouwen. CVE-2026-110537 betreft een autorisatiecontrole die alleen nagaat of een gebruiker een algemene site-brede bevoegdheid heeft, zonder te verifiëren of die beheerder daadwerkelijk bevoegd is over het specifieke gebruikersaccount dat via de login-goedkeuringsfunctie van de plugin wordt beheerd.
Technische oorzaak
CVE-2026-110510 valt onder CWE-345 (onvoldoende verificatie van gegevensauthenticiteit): de HTML-tag-instelling wordt niet gevalideerd voordat deze wordt gebruikt om markup te genereren, waardoor iframe- en formulierelementen in gepubliceerde pagina's kunnen worden geïnjecteerd. CVE-2026-110537 valt onder CWE-863 (onjuiste autorisatie): de login-goedkeuringsfunctie controleert alleen of een gebruiker een algemene, site-brede bevoegdheid bezit, niet of die beheerder daadwerkelijk zeggenschap heeft over het specifieke account dat wordt gewijzigd. Op WordPress Multisite-installaties kan deze controle daardoor onterecht slagen over de grenzen van afzonderlijke sites binnen het netwerk heen.
Wie wordt getroffen
Voor CVE-2026-110510 geldt dat sites kwetsbaar zijn waarop gebruikers met de rol Auteur of hoger pagina's kunnen bewerken met de widgets van de plugin; zij zouden iframe- en formulierelementen in gepubliceerde content kunnen injecteren. CVE-2026-110537 treft uitsluitend WordPress Multisite-netwerken, waar een beheerder van een subsite de goedkeurings- en loginstatus van accounts op andere sites binnen hetzelfde netwerk zou kunnen wijzigen.
Getroffen versies
Versies van Essential Addons for Elementor vóór 6.8.7 zijn getroffen door zowel CVE-2026-110510 als CVE-2026-110537.
Oplossingen en mitigatie
Beide advisories vermelden versie 6.8.7 als de opgeloste versie in de gegevens over getroffen versiebereiken. Het beschikbare feitenmateriaal bevestigt echter niet dat een gepatchte release daadwerkelijk publiekelijk is uitgebracht of beschikbaar is om te downloaden; de indicator 'fix_available' staat voor beide advisories op 'onwaar'. Sitebeheerders wordt geadviseerd het wijzigingslogboek van de plugin te controleren en te updaten naar versie 6.8.7 of hoger zodra bevestigd is dat deze beschikbaar is.
Aanbevolen actie
Beheerders wordt aangeraden de geïnstalleerde versie van Essential Addons for Elementor te controleren en te updaten naar versie 6.8.7 of hoger zodra een bevestigde update beschikbaar is. Als algemene voorzorgsmaatregel is het verstandig te controleren welke gebruikers de rol Auteur of hoger hebben en de toegang tot het bewerken van widgets te beperken waar dit niet nodig is. Voor WordPress Multisite-netwerken wordt aangeraden de rechten van subsite-beheerders met betrekking tot de login-goedkeuringsfunctie van de plugin te herzien.
PatchBriefing-score
3.1 / 10 · Laag
Officiële CVSS: 3.8
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:N/I:L/A:L
EPSS 0.0013 (3 percentiel)
Waarom deze score
Beide kwetsbaarheden hebben lage CVSS-basisscores (3,5 en 3,8) en lage Patchwire-scores (2,7 en 3,1). Beide vereisen geprivilegieerde toegang (PR:H, een rol Auteur of site-beheerder), waardoor misbruik beperkt blijft tot gebruikers die al substantiële toegang tot de site hebben. Geen van beide wordt actief misbruikt voor zover bekend, en er is geen publiek exploitcode gerapporteerd. De EPSS-scores zijn voor beide zeer laag (onder 0,2%), wat duidt op een lage verwachte kans op misbruik. Het ontbreken van een bevestigd beschikbare fix draagt in beperkte mate bij aan de score, evenals het grote aantal actieve installaties van de plugin (meer dan een miljoen), wat de totale groep potentieel kwetsbare sites vergroot.
Getroffen versies
- Essential Addons for Elementor < 6.8.7
- kwetsbaar
- Essential Addons for Elementor < 6.8.7
- kwetsbaar
Gemelde oplossingen
Beide advisories vermelden versie 6.8.7 als de opgeloste versie in de gegevens over getroffen versiebereiken. Het beschikbare feitenmateriaal bevestigt echter niet dat een gepatchte release daadwerkelijk publiekelijk is uitgebracht of beschikbaar is om te downloaden; de indicator 'fix_available' staat voor beide advisories op 'onwaar'. Sitebeheerders wordt geadviseerd het wijzigingslogboek van de plugin te controleren en te updaten naar versie 6.8.7 of hoger zodra bevestigd is dat deze beschikbaar is.
Hoe dit rapport is gemaakt
4 bronrecords zijn opgehaald, gekoppeld en gebruikt om het rapport hierboven op te stellen.
-
NVD (NIST) database
-
WPVulnerability database
-
-
Revisiegeschiedenis
- Gepubliceerd
- Gegenereerd
Gerelateerd
Relevante veranderingen voor de stacks die je volgt.
Kies je stacks, onderwerpen en eventueel WordPress-plugins. Om 07:00 CEST worden passende meldingen en releases uit de rapportageperiode in één e-mail gegroepeerd.
✓ Kies stacks en onderwerpen✓ Pas voorkeuren altijd aan✓ Eén gebundelde e-mail