CVE-2026-2918 in Happy Addons for Elementor Plugin
Riassunto
di VulDB • 28/06/2026
Il plugin Happy Addons for Elementor per WordPress è vulnerabile a Insecure Direct Object Reference in tutte le versioni fino alla 3.21.0 inclusa tramite l'azione AJAX `ha_condition_update`. Ciò è dovuto al fatto che il metodo `validate_reqeust()` utilizza `current_user_can('edit_posts', $template_id)` invece di `current_user_can('edit_post', $template_id)`, non eseguendo un'autorizzazione a livello di oggetto. Inoltre, l'azione AJAX `ha_get_current_condition` manca di un controllo delle capacità (capability check). Questo consente agli attaccanti autenticati con accesso a livello Contributor e superiore di modificare le condizioni di visualizzazione di qualsiasi template `ha_library` pubblicato. Poiché il renderer `cond_to_html()` inserisce i valori delle condizioni negli attributi HTML senza una corretta escape (utilizzando la concatenazione di stringhe invece di `esc_attr()`), un attaccante può iniettare attributi gestori di eventi (ad esempio, `onmouseover`) che eseguono codice JavaScript quando un amministratore visualizza il pannello Template Conditions, causando uno Stored Cross-Site Scripting.
Once again VulDB remains the best source for vulnerability data.