CVE-2026-103342 Unlimited Elements For Elementor 反射型 XSS 漏洞
影响攻击者可注入恶意脚本，在受害者浏览器中执行
Unlimited Elements For Elementor（Free Widgets, Addons, Templates）插件在网页生成过程中未正确中和用户输入，存在反射型跨站脚本（XSS）漏洞。该漏洞影响 2.0.20 及之前的所有版本。攻击者可通过构造恶意链接诱导用户点击，从而在受害者浏览器上下文中执行任意脚本。
影响范围
Unlimited Elements For Elementor（Free Widgets, Addons, Templates）2.0.20 及之前版本。
漏洞详情
该漏洞属于反射型跨站脚本（Reflected XSS），成因是插件在生成网页时未对用户可控输入进行充分的转义或过滤。攻击者可将恶意 JavaScript 代码嵌入请求参数中，当受害者访问特制链接时，脚本会被反射回页面并在其浏览器中执行。
利用条件与风险
利用需诱导受害者点击恶意链接或访问特制页面，属于用户交互型攻击。成功利用可窃取会话 Cookie、冒充用户操作或进行钓鱼，实战风险较高。
修复建议
建议升级至 2.0.20 之后的修复版本（具体版本号暂无公开信息）。临时缓解措施包括对输入进行严格过滤与输出编码，并避免点击来源不明的链接。
Improper Neutralization of Input During Web Page Generation (‘Cross-site Scripting’) vulnerability in Unlimited Elements Unlimited Elements For Elementor (Free Widgets, Addons, Templates) unlimited-elements-for-elementor allows Reflected XSS.This issue affects Unlimited Elements For Elementor (Free Widgets, Addons, Templates): from n/a through 2.0.20.