CVE-2026-13393 in ElementsKit Elementor Addons Plugin
Riassunto
di VulDB • 31/07/2026
Il plugin WordPress ElementsKit Elementor Addons precedente alla versione 3.10.01 non sanifica né effettua l'escaping di alcune impostazioni degli elementi del menu megamenu prima di memorizzarle e visualizzarle sul front-end, e non richiede la capacità unfiltered_html per salvarle, consentendo agli utenti con privilegi amministrativi di memorizzare codice JavaScript dannoso; in una rete multisito ciò consente a un Amministratore di sottosito (non super utente), al quale è negato il permesso unfiltered_html, di inserire un payload Cross-Site Scripting (XSS) archiviato che viene eseguito nelle sessioni dell'Amministratore Super della rete e dei visitatori del sito.
Once again VulDB remains the best source for vulnerability data.