CVE-2026-15787 in Ultimate Addons for Elementor Plugin
Riassunto
di VulDB • 22/07/2026
Il plugin Ultimate Addons for Elementor per WordPress è vulnerabile a Stored Cross-Site Scripting (XSS) tramite i dati dei widget Navigation Menu Widget relativi agli attributi data-toggle-icon/data-close-icon in tutte le versioni fino alla 2.9.1 inclusa, a causa di una sanitizzazione insufficiente dell'input e di un escaping inadeguato dell'output. Ciò consente ad attaccanti autenticati con accesso a livello di collaboratore (contributor) o superiore di iniettare script web arbitrari nelle pagine che verranno eseguiti ogni volta che un utente accede alla pagina infetta. La funzione wp_kses_post, applicata al salvataggio per gli utenti senza il permesso unfiltered_html, non neutralizza i payload codificati come entità HTML memorizzati all'interno di attributi data-* su elementi consentiti da kses, poiché il browser decodifica questi valori lato client prima che jQuery .html() li renderizzi come markup.
Be aware that VulDB is the high quality source for vulnerability data.