CVE-2026-110808— Elementor 插件 6.6.0-6.8.7 权限提升漏洞
一分钟漏洞结论
影响对象
Unknown Essential Addons for Elementor
利用判断
尚无明确在野利用证据，仍需结合暴露面评估
建议动作
优先检查厂商安全公告和参考链接中的修复版本；无法立即升级时，限制受影响服务暴露并加强监测。
Elementor 的 Essential Addons 插件在 6.8.8 版本之前未能正确限制谁可以设置通过其注册表单创建账户时所分配的权限角色。这导致拥有“作者（Author）”级别或更高权限的已认证用户，能够迫使新注册的账户（包括未认证访客通过公开注册表单创建的账户）被赋予更高的角色，例如“编辑（Editor）”。 此问题是 CVE-2026-5193 的不完整修复：在 6.6.0 版本中引入的角色验证控制机制可被低权限用户绕过，因此 6.6.0 至 6.8.7 版本即使已针对该漏洞公告进行了修补，仍然存在
获取后续新漏洞提醒
登录后订阅
一、 漏洞 CVE-2026-110808 基础信息
漏洞信息
对漏洞内容有疑问？看看神龙的深度分析是否有帮助！
查看神龙十问 ↗
尽管我们使用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。神龙努力确保数据的准确性，但请您根据实际情况进行核实和判断。
Vulnerability Title
Essential Addons for Elementor 6.6.0 - 6.8.7 - Author+ Privilege Escalation via register_user_role
来源: CVE Program / CVE List V5
Vulnerability Description
The Essential Addons for Elementor WordPress plugin before 6.8.8 does not correctly restrict who may set the role assigned to accounts created through its registration form, allowing authenticated users with Author-level access and above to cause newly registered accounts, including those created by unauthenticated visitors through the public registration form, to be granted a higher role such as Editor.
This is an incomplete fix of CVE-2026-5193: the role-validation control added in 6.6.0 can be circumvented by a lower-privileged user, so versions 6.6.0 through 6.8.7 remain affected even on sites that are patched against that advisory.
来源: CVE Program / CVE List V5
CVSS Information
N/A
来源: CVE Program / CVE List V5
Vulnerability Type
N/A
来源: CVE Program / CVE List V5
受影响产品
| 厂商 | 产品 | 影响版本 | CPE | 订阅 |
|---|---|---|---|---|
| Unknown | Essential Addons for Elementor | 6.6.0 ~ 6.8.8 | - |
|
二、漏洞 CVE-2026-110808 的公开POC
| # | POC 描述 | 源链接 | 神龙链接 |
|---|
AI 生成 POC
高级
未找到公开 POC。
登录以生成 AI POC三、漏洞 CVE-2026-110808 的情报信息
请登录查看更多情报信息。
CVE-2026-110808 其他参考 (1)
-
https://wpscan.com/vulnerability/aea51ee6-e1cd-4110-8d07-76cf8f87b2e4/ exploit vdb-entry technical-description
同批安全公告 · Unknown · 2026-10-31 · 共 11 条
| CVE-2026-94361 | PAYable IPG 1.3.1 前 未认证支付伪造漏洞 | |
| CVE-2026-118185 | Security Optimizer 1.6.9 前双因素认证绕过漏洞 | |
| CVE-2026-118629 | All-in-One Video Gallery < 5.0.0 未授权视频泄露漏洞 | |
| CVE-2026-118438 | Firelight Lightbox 2.3.24 图片 src 属性存储型 XSS 漏洞 | |
| CVE-2026-118638 | Mapster WP Maps 2.0.6 未认证任意文章修改漏洞 | |
| CVE-2026-118437 | BuddyForms 2.8.8-2.10.0 未授权附件删除漏洞 | |
| CVE-2026-82214 | Quick Event Manager 8.4.6-9.18 未授权内容泄露漏洞 | |
| CVE-2026-118184 | Premium Packages 7.2.2 以下版本订单金额篡改漏洞 | |
| CVE-2026-118043 | Bulk Media Register 2.01 路径遍历漏洞 | |
| CVE-2026-110042 | Paystack 支付表单 <4.0.6 敏感信息泄露漏洞 |
IV. Related Vulnerabilities
Same product: Essential Addons for Elementor