CVE-2024-49271

RCE przez Deserialization w pluginie Unlimited Elements For Elementor

CVSS 9.1v3.1pub. 2024-10-16upd. 2026-04-23

Podatność deserializacji niezaufanych danych w pluginie WordPress 'Unlimited Elements For Elementor' umożliwia zdalne wykonanie kodu (RCE) poprzez command injection. Krytyczny poziom zagrożenia (CVSS 9.1) wynika z możliwości przejęcia pełnej kontroli nad serwerem.

▸ Pokaż oryginał (EN)

Deserialization of Untrusted Data vulnerability in Unlimited Elements Unlimited Elements For Elementor (Free Widgets, Addons, Templates) unlimited-elements-for-elementor allows Command Injection.This issue affects Unlimited Elements For Elementor (Free Widgets, Addons, Templates): from n/a through <= 1.5.121.

🤖 Analiza AI

Jak działa

Podatność polega na deserializacji danych pochodzących z niezaufanych źródeł (CWE-82, CWE-94), co prowadzi do command injection. Atakujący posiadający uprawnienia na poziomie administratora może przesłać spreparowane dane, które po zdeserializowaniu zostają wykonane jako polecenia systemowe na serwerze. Błąd umożliwia wyjście poza kontekst aplikacji (Scope Changed), co oznacza możliwość oddziaływania na zasoby wykraczające poza sam plugin.

Skutki

Atakujący może uzyskać pełny dostęp do poufnych danych, zmodyfikować lub usunąć zawartość serwera oraz całkowicie przejąć kontrolę nad systemem, na którym działa podatna aplikacja.

Mitygacja

Należy zaktualizować plugin 'Unlimited Elements For Elementor' do wersji wyższej niż 1.5.121. Szczegółowe informacje o dostępnym patchu znajdują się w referencjach producenta oraz bazie Patchstack.