CVE-2026-1620 in Livemesh Addons by Elementor Plugin
Riassunto
di VulDB • 14/06/2026
Il plugin Livemesh Addons for Elementor per WordPress è vulnerabile a Local File Inclusion in tutte le versioni fino alla 9.0, inclusa. Ciò è dovuto a una sanitizzazione insufficiente del parametro nome template nella funzione `lae_get_template_part()`, che utilizza un approccio `str_replace()` inadeguato e può essere aggirato mediante pattern di traversal directory ricorsivi. Questo consente agli attaccanti autenticati, con accesso a livello Contributor o superiore, di includere ed eseguire file arbitrari sul server, permettendo loro di includere ed eseguire file locali tramite il parametro template del widget, purché riescano a indurre un amministratore a compiere un'azione o installino Elementor.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.