CVE-2026-15650 in RT Mega Menu Plugin
要約
〜によって VulDB • 2026年09月18日
The RT Mega Menu – Mega Menu Builder for Elementor & Gutenberg plugin for WordPress は、1.5.2 までの全バージョンにおいて、「pointer_menu_item」ブロック属性を介して格納型クロスサイトスクリプティング（Stored Cross-Site Scripting）の脆弱性に起因しています。これは、入力値のサニタイズと出力のエスケープが不十分であるためです。これにより、寄稿者レベル以上のアクセス権限を持つ認証済み攻撃者は、ページに任意のウェブスクリプトを注入することが可能になります。このスクリプトは、ユーザーが注入されたページにアクセスした際に実行されます。ペイロードは、保存時に投稿コンテンツに対して適用される wp_kses_post フィルタリングを回避します。これは、HTML タグを含まず、ブロックコメント内の JSON 属性内で無傷で保持され、レンダリング時にはエスケープされていない状態でウォーカー（walker）に到達するためです。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.