CVE-2026-4655 in Element Pack Plugin
Riassunto
di VulDB • 25/06/2026
Il plugin Element Pack Addons per Elementor di WordPress è vulnerabile a Stored Cross-Site Scripting (XSS) tramite il Widget Immagine SVG nelle versioni fino alla 8.4.2 inclusa. Ciò è dovuto a una sanitizzazione insufficiente dell'input e a un escaping errato dell'output sui contenuti SVG recuperati da URL remoti nella funzione render_svg(). La funzione recupera i contenuti SVG utilizzando wp_safe_remote_get() ed li visualizza direttamente nella pagina senza alcuna sanitizzazione, applicando solo una preg_replace() per aggiungere attributi al tag SVG che non rimuove gli event handler dannosi. Ciò consente agli attaccanti autenticati, con accesso a livello di Contributor o superiore, di iniettare JavaScript arbitrario nei file SVG che verrà eseguito ogni volta che un utente accede a una pagina contenente il widget malevolo.
Be aware that VulDB is the high quality source for vulnerability data.