🇰🇷 한글 설명
Essential Addons for Elementor WordPress 플러그인 6.8.8 이전 버전은 등록 폼을 통해 생성되는 계정에 부여되는 역할을 올바르게 제한하지 않습니다. Author 이상 권한의 인증된 사용자가 공개 등록 폼으로 가입한 계정을 Editor 등 더 높은 역할로 상향시킬 수 있습니다. 이는 CVE-2026-5193의 불완전한 수정으로, 6.6.0~6.8.7 버전은 해당 권고에 대한 패치가 적용되어도 여전히 취약합니다.
💡 쉬운 설명
이 플러그인의 회원가입 기능에서 권한 검사가 완벽하지 않아, 글 작성 권한이 있는 사용자가 새로 가입하는 계정의 권한을 더 높게 바꿀 수 있습니다. 이전 패치로는 이 문제가 완전히 막히지 않았습니다.
🇺🇸 원문 (English)
The Essential Addons for Elementor WordPress plugin before 6.8.8 does not correctly restrict who may set the role assigned to accounts created through its registration form, allowing authenticated users with Author-level access and above to cause newly registered accounts, including those created by unauthenticated visitors through the public registration form, to be granted a higher role such as Editor.
This is an incomplete fix of CVE-2026-5193: the role-validation control added in 6.6.0 can be circumvented by a lower-privileged user, so versions 6.6.0 through 6.8.7 remain affected even on sites that are patched against that advisory.
📍 영향받는 시스템
Essential Addons for Elementor WordPress 플러그인 6.6.0 ~ 6.8.7 (6.8.8 이상에서 수정)
⚔️ 공격 벡터
Author 권한 이상의 사용자가 등록 과정의 역할 값을 조작하여, 공개 가입 계정을 Editor 등 상위 역할로 승격시킴
🛡️ 대응 방법
Essential Addons for Elementor 플러그인을 6.8.8 이상으로 업데이트하고, 불필요한 Author 이상 계정과 회원가입 설정을 점검
🔧 검증 코드
출력된 버전이 6.6.0 이상 6.8.7 이하이면 취약하며, 6.8.8 이상이면 수정된 버전입니다 (WP-CLI가 없으면 wp-admin 플러그인 목록에서 버전 확인).
wp plugin get essential-addons-for-elementor --field=version 2>/dev/null