Resumo: Foi divulgada a CVE-2026-103355 (CVSS 9.3), uma injeção de SQL cega no plugin Unlimited Elements For Elementor que afeta as versões até a 2.0.20. A falha permite que atacantes sem autenticação extraiam informações sensíveis do banco de dados, como dados de usuários e hashes de senha, usando técnicas baseadas em tempo ou em respostas booleanas. Ainda não há exploit público, mas falhas desse tipo costumam ser exploradas em massa poucas horas após a divulgação.
Fonte: TheHackerWire
O que fazer: Verifique se o Unlimited Elements For Elementor está instalado e atualize para a primeira versão posterior à 2.0.20 assim que estiver disponível no painel. Enquanto isso, ative regras de WAF contra SQL injection (Wordfence, Patchstack ou o firewall da hospedagem) e, se o plugin não for essencial, desative-o temporariamente. Revise os logs de acesso em busca de requisições com SLEEP(), BENCHMARK() ou respostas anormalmente lentas.