LA-Studio Element Kit插件LFI漏洞(CVE-2026-15338)及修复

漏洞概述 漏洞名称: LA-Studio Element Kit for Elementor <= 1.6.1 - Authenticated (Contributor+) Local File Inclusion via 'progress_type' Widget Setting CVE ID: CVE-2026-15338 CVSS评分: 7.5 (High) 发布日期: 2026年7月10日 最后更新日期: 2026年7月11日 研究人员: PRISM 影响范围 软件类型: Plugin 软件Slug: lastudio-element-kit 是否已修复: Yes 受影响版本: <= 1.6.1 修复版本: 1.6.2 修复方案 修复建议: 更新到版本1.6.2或更新的已修复版本 漏洞描述 该漏洞允许经过身份验证的攻击者（具有Contributor级别权限）通过 函数在1.6.1及更早版本中执行任意PHP文件，从而实现本地文件包含（LFI）。攻击者可以利用此漏洞绕过访问控制，获取敏感信息或执行代码。 参考链接 plugins.trac.wordpress.org plugins.trac.wordpress.org plugins.trac.wordpress.org plugins.trac.wordpress.org plugins.trac.wordpress.org plugins.trac.wordpress.org 近期相关漏洞 CVE-2026-0920: LA-Studio Element Kit for Elementor <= 1.5.6.3 - Unauthenticated Privilege Escalation via Backdoor to Administrative User Creation via iakkt_bkrole parameter CVE-2026-24947: LA-Studio Element Kit for Elementor <= 1.5.6.3 - Missing Authorization CVE-2025-8360: LA-Studio Element Kit for Elementor <= 1.5.5.1 - Authenticated (Contributor+) Stored Cross-Site Scripting via Multiple Widgets CVE-2025-4944: LA-Studio Element Kit for Elementor <= 1.5.2 - Authenticated (Contributor+) Stored Cross-Site Scripting via Image Compare and Google Maps Widgets CVE-2025-4943: LA-Studio Element Kit for Elementor <= 1.5.2 - Authenticated (Contributor+) DOM-Based Stored Cross-Site Scripting via data-link-element-link Parameter CVE-2025-3106: LA-Studio Element Kit for Elementor <= 1.4.9 - Authenticated (Contributor+) Stored Cross-Site Scripting via Table of Contents Widget CVE-2025-32194: LA-Studio Element Kit for Elementor <= 1.3.1 - Authenticated (Contributor+) Stored Cross-Site Scripting CVE-2024-10787: LA-Studio Element Kit for Elementor <= 1.4.4 - Authenticated (Contributor+) Post Disclosure CVE-2024-10873: LA-Studio Element Kit for Elementor <= 1.4.2 - Authenticated (Contributor+) Local File Inclusion CVE-2024-47628: LA-Studio Element Kit for Elementor <= 1.3.9.3 - Authenticated (Contributor+) Stored Cross-Site Scripting 其他信息 版权声明: 2012-2026 Defiant Inc. 许可证: 根据Defiant的永久、全球、非排他性、免版税、不可撤销的版权许可证，可以复制、准备衍生作品、公开显示、公开表演、分发此软件漏洞信息。 MITRE Corporation: 根据MITRE的永久、全球、非排他性、免版税、不可撤销的版权许可证，可以复制、准备衍生作品、公开显示、公开表演、分发此软件漏洞信息。 联系方式 技术支持: 9am-8pm ET, 6am-5pm PT and 2pm-1am UTC/GMT excluding weekends and holidays. 响应时间: 24小时支持，365天一年，1小时响应时间。 其他链接 Terms of Service: 链接 Privacy Policy and Notice at Collection: 链接 Do Not Sell or Share My Personal Information: 链接 社交媒体 X: 链接 Facebook: 链接 Instagram: 链接 YouTube: 链接 产品和支持 Products: - Wordfence Free - Wordfence Premium - Wordfence Care - Wordfence Response - Wordfence CLI - Wordfence Intelligence - Wordfence Central Support: - Documentation - Learning Center - Free Support - Premium Support News: - Blog - In The News - Vulnerability Advisories About: - About Wordfence - Affiliate Program - Employment - Contact - Security - CVE Request Form 订阅 Stay Updated: 注册以获取我们经验丰富的安全专业人士团队的新闻和更新。 邮箱: 输入框 同意条款: 复选框 注册: 按钮 版权 © 2012-2026 Defiant Inc. All Rights Reserved 其他 CRESCENT: 链接

目标达成感谢每一位支持者 — 我们达成了 100% 目标！

LA-Studio Element Kit插件LFI漏洞(CVE-2026-15338)及修复

同源更多文章

目标达成 感谢每一位支持者 — 我们达成了 100% 目标！

LA-Studio Element Kit插件LFI漏洞(CVE-2026-15338)及修复

同源更多文章

目标达成感谢每一位支持者 — 我们达成了 100% 目标！