CVE-2022-1329
Elementor Website Builder 3.6.0 - 3.6.2 - Autorizzazione mancante all'esecuzione di codice in remoto
- Pubblicato
- 19 apr 2022
- Aggiornato
- 7 feb 2025
- Assegnazione CNA
- Wordfence
- Evidenza osservata
- 7 ago 2026
CVSS primario
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:HAlto · prossimi 30 giorni
- Percentile
- 99,8%
- Data del modello
- 15 ott 2026
L'EPSS è una stima statistica, non una certezza o una misura di impatto. Combinalo con CVSS, stato KEV, esposizione e ambiente.
Riepilogo
Il plugin Elementor Website Builder per WordPress è vulnerabile all'esecuzione non autorizzata di diverse azioni AJAX a causa di un controllo delle capacità mancante nel file ~/core/app/modules/onboarding/module.php che consente agli attaccanti di modificare i dati del sito oltre a caricare file dannosi che possono essere utilizzati per ottenere l'esecuzione remota di codice, nelle versioni dalla 3.6.0 alla 3.6.2.
Fonti
modules/exploits/multi/http/wp_plugin_elementor_auth_upload_rce.rb
Metasploit Framework modulesCondizioni dichiarate
- platform: PHP($.exploit_multi/http/wp_plugin_elementor_auth_upload_rce.platform)
- verification: check_declared($.exploit_multi/http/wp_plugin_elementor_auth_upload_rce.check)
http/cves/2022/CVE-2022-1329.yaml
Nuclei TemplatesCondizioni dichiarate
- network: http($.protocol_keys)
- verification: word($.matchers[*].type)
Utilizzo responsabile
Utilizza le informazioni sulla vulnerabilità solo sui sistemi che possiedi o che sei autorizzato a testare. Kitploit si collega ai metadati della ricerca pubblica e non memorizza codici exploit o payload dannosi.