CVE-2026-2918 in Happy Addons for Elementor Plugin
요약
\~에 의해 VulDB • 2026. 06. 02.
WordPress용 Happy Addons for Elementor 플러그인은 3.21.0 버전까지 모든 버전에서 `ha_condition_update` AJAX 액션을 통해 비인가 직접 객체 참조(Insecure Direct Object Reference) 취약점이 존재합니다. 이는 `validate_reqeust()` 메서드가 `current_user_can('edit_post', $template_id)` 대신 `current_user_can('edit_posts', $template_id)`를 사용함으로써 객체 수준의 권한 검사를 수행하지 않기 때문입니다. 또한 `ha_get_current_condition` AJAX 액션에는 권한 확인이 누락되어 있습니다. 이로 인해 Contributor 권한 이상의 접근 권한을 가진 인증된 공격자는 게시된 모든 `ha_library` 템플릿의 표시 조건을 수정할 수 있습니다. `cond_to_html()` 렌더러는 조건 값을 `esc_attr()` 대신 문자열 연결을 사용하여 HTML 속성에 적절히 이스케이프 없이 출력하므로, 공격자는 이벤트 핸들러 속성(예: `onmouseover`)을 주입할 수 있습니다. 이는 관리자가 템플릿 조건 패널을 볼 때 JavaScript가 실행되어 저장형 크로스 사이트 스크립팅(Stored Cross-Site Scripting)을 유발합니다.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.