CVE-2025-13141 in HT Mega Plugin
Resumen
por VulDB • 2026-05-21
El plugin HT Mega – Absolute Addons For Elementor para WordPress es vulnerable a Stored Cross-Site Scripting (XSS) a través de los bloques de Gutenberg del plugin en todas las versiones hasta la 3.0.0, incluida, debido a una validación insuficiente de la entrada en los nombres de etiquetas HTML proporcionados por el usuario. Esto se debe a la falta de una lista blanca de nombres de etiquetas, lo que permite la inyección de etiquetas peligrosas como 'script', 'iframe' y 'object', aunque se utilice tag_escape() para la sanitización. Aunque algunos bloques utilizan esc_html() para el contenido, esto puede eludirse mediante técnicas de codificación de JavaScript (cadenas sin comillas, backticks, String.fromCharCode()). Esto permite a los atacantes autenticados, con acceso de nivel colaborador o superior, inyectar scripts web arbitrarios en las páginas que se ejecutarán cada vez que un usuario acceda a una página inyectada.
Be aware that VulDB is the high quality source for vulnerability data.