Essential Addons for Elementor是一个活跃安装量超过一百万的插件，它已在 5.7.2 版本中修补了一个未经身份验证的权限升级漏洞。该漏洞于 2023 年 5 月 8 日被发现，由 Patchstack 研究员 Rafie Muhammad 报告。它的 CVSS 3.1 评分为 9.8（严重程度），目前尚不清楚是否已被利用。
Muhammad 在今天发布的安全公告中概述了该漏洞：
该插件存在未经身份验证的权限升级漏洞，允许任何未经身份验证的用户将其权限升级为 WordPress 站点上任何用户的权限。
只要我们知道他们的用户名，就可以重置任何用户的密码，从而能够重置管理员的密码并登录他们的帐户。出现此漏洞是因为此密码重置功能不验证密码重置密钥，而是直接更改给定用户的密码。
该插件的作者今天（5 月 11 日）发布了补丁，并在更新日志中添加了以下注释：
5.7.2 – 11/05/2023
改进：用于增强安全性的 EA 登录/注册表单
一些小错误修复和改进
该漏洞影响使用 5.4.0 至 5.7.1 版 Essential Addons for Elementor 的网站。既然 Patchstack 已经发布了利用它的概念证明，建议用户立即更新到最新版本 5.7.2 。
