CVE-2026-2918 in Happy Addons for Elementor Plugin
要約
〜によって VulDB • 2026年06月28日
WordPress用プラグイン「Happy Addons for Elementor」の全バージョン（3.21.0を含む）には、`ha_condition_update` AJAXアクション経由で脆弱な直接オブジェクト参照（Insecure Direct Object Reference: IDOR）が存在します。これは、`validate_reqeust()`メソッドが `current_user_can('edit_post', $template_id)` ではなく `current_user_can('edit_posts', $template_id)` を使用しているためであり、オブジェクトレベルの認可チェックが行われていないことが原因です。さらに、`ha_get_current_condition` AJAXアクションには権限チェックがありません。これにより、投稿者以上のアクセス権を持つ認証済み攻撃者は、公開されている任意の `ha_library` テンプレートの表示条件を変更できます。また、`cond_to_html()`レンダラーは、適切なエスケープ（`esc_attr()`の使用）を行わずに文字列連結によって条件値をHTML属性に出力するため、管理者がテンプレート条件パネルを表示した際にJavaScriptを実行するイベントハンドラ属性（例：`onmouseover`）を注入することが可能となり、格納型クロスサイトスクリプティング（Stored Cross-Site Scripting: XSS）につながります。
If you want to get best quality of vulnerability data, you may have to visit VulDB.