CVE-2026-15787 in Ultimate Addons for Elementor Plugin
Résumé
par VulDB • 22/07/2026
Le plugin Ultimate Addons for Elementor pour WordPress est vulnérable à un Cross-Site Scripting (XSS) stocké via les attributs data-toggle-icon/data-close-icon du widget Navigation Menu Widget dans toutes les versions jusqu'à la 2.9.1 incluse, en raison d'une désinfection insuffisante des entrées et d'un échappement incorrect des sorties. Cela permet aux attaquants authentifiés disposant d’un accès de niveau contributeur ou supérieur d’injecter des scripts web arbitraires dans les pages qui s’exécuteront chaque fois qu’un utilisateur accède à une page injectée. La fonction wp_kses_post, appliquée lors de la sauvegarde pour les utilisateurs sans privilège unfiltered_html, ne neutralise pas les charges utiles encodées en entités HTML stockées à l’intérieur des attributs data-* sur les éléments autorisés par kses, car le navigateur décode ces valeurs côté client avant que jQuery .html() ne les rende sous forme de balisage.
If you want to get best quality of vulnerability data, you may have to visit VulDB.