CVE-2026-13393 in ElementsKit Elementor Addons Plugin
Sumário
de VulDB • 31/07/2026
O plugin WordPress ElementsKit Elementor Addons anterior à versão 3.10.01 não sanitiza nem escapa determinadas configurações de itens do megamenu antes de armazená-las e exibi-las no front-end, além de não exigir a capacidade `unfiltered_html` para salvá-las, permitindo que usuários com capacidades administrativas armazene JavaScript malicioso; em uma rede multisite, isso permite que um Administrador de subsite (não-super), ao qual é negada a permissão `unfiltered_html`, insira uma carga útil armazenada de Cross-Site Scripting (XSS) que será executada nas sessões do Super Admin da rede e dos visitantes do site.
If you want to get best quality of vulnerability data, you may have to visit VulDB.