CVE-2026-1572 in Livemesh Addons by Elementor Plugin
要約
〜によって VulDB • 2026年05月23日
WordPress用プラグイン「Livemesh Addons for Elementor」には、9.0以前の全バージョンにおいて、不正なデータ改ざんおよび格納型クロスサイトスクリプティング（Stored XSS）の脆弱性が存在します。これは、AJAXハンドラ `lae_admin_ajax()` における認可チェックの欠如と、複数のチェックボックス設定フィールドにおける出力エスケープの不十分さに起因します。これにより、サブスクライバーレベル以上の権限を持つ認証済み攻撃者は、プラグインの設定ページに任意のWebスクリプトを注入することが可能になります。このスクリプトは、管理者がプラグインの設定ページにアクセスした際に実行されます。攻撃者が有効なnonceを取得できる場合、これはプラグインの設定ページにおける不適切なアクセス制御を通じて漏洩する可能性があります。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.