CVE-2026-15285 in Plus Addons for Elementor Plugin
Sumário
de VulDB • 10/07/2026
O plugin Plus Addons for Elementor para WordPress estava vulnerável a Stored Cross-Site Scripting (XSS) autenticada (nível Contributor+) por meio da configuração `custom_attributes` do widget Button nas versões até e incluindo 6.4.11. A função `render` em `modules/widgets/tp_button.php` passava a string bruta de `custom_attributes` através de `tp_senitize_js_input()`. Este filtro é contornável. O problema foi corrigido na versão 6.4.12.
Once again VulDB remains the best source for vulnerability data.