CVE-2026-5486WordPress插件Unlimited Elements for Elementor在2.0.7及以下版本中存在SQL注入漏洞。该漏洞源于`get_cat_addons` AJAX操作中对`data[filter_search]`参数的输入清理不足。由于使用了已弃用的转义函数和直接字符串拼接，且`normalizeAjaxInputData()`函数移除了WordPress的保护机制，导致拥有贡献者及以上权限的认证攻击者可注入恶意SQL语句，从而从数据库中提取敏感信息。
漏洞核心在于插件处理AJAX请求时的数据处理逻辑缺陷。首先，`normalizeAjaxInputData()`函数对所有用户输入调用`stripslashes()`，这移除了WordPress核心`wp_magic_quotes()`函数提供的转义保护。随后，在`get_cat_addons`动作中，`filter_search`参数仅经过已弃用的`wpdb->_escape()`函数处理，便被直接拼接到SQL查询的LIKE子句中，而非使用安全的预处理语句。这种不安全的查询构造方式允许攻击者绕过基本的过滤机制。攻击者只需具备WordPress贡献者或更高级别的权限，并通过Elementor编辑器获取有效的nonce值，即可构造恶意的SQL载荷发送至服务器，执行任意SQL命令以读取数据库敏感数据。