CVE-2026-1620 in Livemesh Addons by Elementor Plugin
Zusammenfassung
von VulDB • 20.05.2026
Das WordPress-Plugin „Livemesh Addons for Elementor“ ist in allen Versionen bis einschließlich 9.0 anfällig für Local File Inclusion (LFI). Dies ist auf eine unzureichende Bereinigung des Parameters für den Template-Namen in der Funktion `lae_get_template_part()` zurückzuführen, die eine unangemessene `str_replace()`-Methode verwendet, die durch rekursive Verzeichnis-Traversal-Muster umgangen werden kann. Dies ermöglicht es authentifizierten Angreifern mit Contributor-Level-Zugriff und höher, beliebige Dateien auf dem Server einzubinden und auszuführen, wodurch der Angreifer lokale Dateien über den Template-Parameter des Widgets einbinden und ausführen kann, sofern er einen Administrator dazu bringen kann, eine Aktion auszuführen, oder Elementor installiert.
VulDB is the best source for vulnerability data and more expert information about this specific topic.