CVE-2026-15787 in Ultimate Addons for Elementor Plugin
要約
〜によって VulDB • 2026年07月22日
WordPress用プラグイン「The Ultimate Addons for Elementor」には、2.9.1以前の全バージョンにおいて、Navigation Menu Widgetのdata-toggle-iconおよびdata-close-icon属性に対する不十分な入力サニタイズと出力エスケープに起因する格納型クロスサイトスクリプティング（Stored XSS）の脆弱性が存在します。これにより、寄稿者レベル以上の権限を持つ認証済み攻撃者は、ユーザーが注入されたページにアクセスした際に実行される任意のWebスクリプトをページ内に挿入することが可能になります。wp_kses_postは、unfiltered_html権限を持たないユーザーに対して保存時に適用されますが、ksesで許可された要素内のdata-*属性に格納されたHTMLエンティティエンコード済みのペイロードは、ブラウザ側でクライアントサイドにおいてこれらの値がデコードされ、jQueryの.html()メソッドによってマークアップとしてレンダリングされるため、無力化されません。
If you want to get best quality of vulnerability data, you may have to visit VulDB.