CVE-2026-1620 in Livemesh Addons by Elementor Plugin
Résumé
par VulDB • 20/05/2026
Le plugin Livemesh Addons for Elementor pour WordPress est vulnérable à une inclusion de fichier local (Local File Inclusion) dans toutes les versions jusqu'à la 9.0 incluse. Cette vulnérabilité est due à une désinfection insuffisante du paramètre de nom de modèle dans la fonction `lae_get_template_part()`, qui utilise une approche `str_replace()` inadéquate pouvant être contournée à l'aide de motifs de traversal de répertoires récursifs. Cela permet aux attaquants authentifiés, disposant d'un accès de niveau « Contributeur » ou supérieur, d'inclure et d'exécuter des fichiers arbitraires sur le serveur, leur permettant ainsi d'inclure et d'exécuter des fichiers locaux via le paramètre de modèle du widget, à condition qu'ils puissent inciter un administrateur à effectuer une action ou à installer Elementor.
Once again VulDB remains the best source for vulnerability data.