چند آسیب‌پذیری امنیتی در افزونه Unlimited Elements for Elementor شناسایی شده است؛ افزونه‌ای که بیش از 300,000 نصب فعال دارد و برای افزودن ابزارک‌ها و امکانات طراحی به المنتور استفاده می‌شود. گزارش‌های منتشرشده در اواخر اکتبر و اوایل نوامبر 2026، ضعف‌هایی از جمله اجرای اسکریپت مخرب، کنترل ناکافی مجوزها و دسترسی غیرمجاز به فایل‌ها را مطرح کرده‌اند. این موارد در نسخه‌های جدیدتر افزونه اصلاح شده‌اند.
نسخه 2.0.28 در 3 نوامبر 2026 منتشر شده و اصلاحات امنیتی مهمی دارد. اگر این افزونه روی سایتتان نصب است، نسخه آن را بررسی کنید و در صورت قدیمی‌بودن به 2.0.28 یا بالاتر بروزرسانی کنید. البته کشف آسیب‌پذیری به معنی هک‌شدن تمام سایت‌های استفاده‌کننده از افزونه نیست.
آسیب‌پذیری‌های Unlimited Elements چه هستند؟
گزارش‌های پایگاه امنیتی Patchstack نشان می‌دهند چند مشکل متفاوت در نسخه‌های 2.0.26 و قدیمی‌تر شناسایی شده است. شرایط بهره‌برداری و میزان خطر این موارد یکسان نیست:
- تزریق اسکریپت در ابزارک RSS Feed: آسیب‌پذیری
CVE-2026-116558می‌توانست در شرایط خاص امکان اجرای کد مخرب را از طریق محتوای فید فراهم کند. این مشکل در نسخه 2.0.28 اصلاح شده است. - آسیب‌پذیری XSS دیگر: ضعف
CVE-2026-62007نسخه‌های تا 2.0.26 را تحت تأثیر قرار می‌داد و در نسخه 2.0.27 اصلاح شد. - کنترل ناکافی سطح دسترسی: مشکل
CVE-2026-62023به بررسی مجوزهای کاربران مربوط بود و در نسخه 2.0.27 اصلاح شده است. - دسترسی غیرمجاز به فایل‌ها: ضعف
CVE-2026-62121در شرایط مشخص امکان دسترسی خارج از محدوده مجاز را ایجاد می‌کرد و در نسخه 2.0.27 اصلاح شده است. - تزریق اسکریپت با حساب کاربری: مورد
CVE-2026-121579نیز برای نسخه‌های تا 2.0.26 گزارش شده و نسخه 2.0.28 اصلاح آن را دربر دارد.
اصطلاح XSS به نوعی آسیب‌پذیری گفته می‌شود که امکان واردشدن یا اجرای اسکریپت ناخواسته در صفحات وب را ایجاد می‌کند. پیامد دقیق آن به نوع ضعف و شرایط سایت بستگی دارد. همچنین برخی از آسیب‌پذیری‌های گزارش‌شده بدون ورود به سایت قابل سوءاستفاده‌اند و برخی دیگر نیازمند حساب کاربری با سطح دسترسی مشخص هستند.
در نسخه 2.0.28 چه مشکلاتی اصلاح شده است؟
در گزارش تغییرات رسمی افزونه آمده است که داده‌های دریافتی از RSS Feed پیش از نمایش پاک‌سازی می‌شوند. عنوان‌ها و اطلاعات متنی به شکل متن عادی پردازش می‌شوند، کدهای خطرناک از محتوای دارای قالب‌بندی حذف می‌شوند و آدرس‌های ناامن مانند لینک‌هایی که با javascript: شروع می‌شوند پذیرفته نخواهند شد.
در نسخه 2.0.27 نیز محدودیت‌هایی برای خواندن آیکون‌های SVG اضافه شد تا مسیر فایل نتواند به فایل‌های حساس خارج از محدوده مجاز اشاره کند. این اصلاحات نشان می‌دهند چرا نصب بروزرسانی‌های امنیتی، حتی زمانی که ظاهر سایت بدون مشکل کار می‌کند، ضروری است.
چگونه افزونه Unlimited Elements را بروزرسانی کنیم؟
ابتدا وارد پیشخوان وردپرس شوید و از مسیر افزونه‌ها ← افزونه‌های نصب‌شده، نام Unlimited Elements for Elementor را پیدا کنید. شماره نسخه را بررسی کنید. اگر نسخه نصب‌شده از 2.0.28 قدیمی‌تر است، پس از تهیه نسخه پشتیبان از فایل‌ها و پایگاه داده، بروزرسانی افزونه را انجام دهید.
بعد از بروزرسانی، صفحه‌هایی را که با ابزارک‌های Unlimited Elements طراحی شده‌اند بررسی کنید. نمایش گالری‌ها، ابزارک‌های پویا و بخش‌های وابسته به افزونه باید مانند قبل کار کند. در سایت‌های پربازدید یا فروشگاهی، آزمایش بروزرسانی در محیط تست می‌تواند از اختلال ناخواسته در صفحات اصلی جلوگیری کند.
در کنار بررسی نسخه افزونه‌ها، رعایت نکات افزایش امنیت وردپرس مانند محدودکردن دسترسی مدیران، استفاده از رمز قوی و نگهداری نسخه پشتیبان می‌تواند خطرهای دیگر را نیز کاهش دهد.
آیا سایت‌های دارای این افزونه هک شده‌اند؟
خیر؛ انتشار گزارش آسیب‌پذیری به‌تنهایی نشانه نفوذ موفق نیست. برای تشخیص مشکل واقعی باید گزارش‌های ورود، تغییرات غیرمنتظره در فایل‌ها و حساب‌های کاربری و رفتار سایت را بررسی کرد. اگر نشانه مشخصی از نفوذ پیدا کردید، راهنمای اقدامات لازم پس از هک وردپرس می‌تواند نقطه شروع مناسبی برای رسیدگی به مشکل باشد.
جمع‌بندی
چند ضعف امنیتی جدید در افزونه Unlimited Elements for Elementor گزارش شده که نسخه‌های 2.0.26 و قدیمی‌تر را تحت تأثیر قرار می‌دهند. توسعه‌دهنده در نسخه‌های 2.0.27 و 2.0.28 اصلاحات مربوط را منتشر کرده است. کاربران این افزونه بهتر است نسخه نصب‌شده را بررسی کنند، در صورت نیاز به نسخه 2.0.28 یا بالاتر بروزرسانی کنند و بعد از آن عملکرد صفحات ساخته‌شده با المنتور را آزمایش کنند.
صفحه افزونه
