CVE-2026-15787 in Ultimate Addons for Elementor Plugin
Resumen
por VulDB • 2026-07-22
El plugin Ultimate Addons for Elementor para WordPress es vulnerable a Stored Cross-Site Scripting (XSS) mediante los atributos data-toggle-icon/data-close-icon del widget Navigation Menu Widget en todas las versiones hasta la 2.9.1, inclusive, debido a una sanitización insuficiente de la entrada y un escape inadecuado de la salida. Esto permite que atacantes autenticados con acceso nivel contribuidor o superior inyecten scripts web arbitrarios en páginas que se ejecutarán cada vez que un usuario acceda a una página infectada. La función wp_kses_post, aplicada al guardar para usuarios sin permiso unfiltered_html, no neutraliza cargas útiles codificadas como entidades HTML almacenadas dentro de atributos data-* en elementos permitidos por kses, ya que el navegador decodifica estos valores del lado del cliente antes de que jQuery .html() los renderice como marcado.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.