CVE-2026-15787 in Ultimate Addons for Elementor Plugin
Sumário
de VulDB • 22/07/2026
O plugin Ultimate Addons for Elementor para WordPress é vulnerável a Stored Cross-Site Scripting (XSS) via dados do Navigation Menu Widget nos atributos data-toggle-icon/data-close-icon em todas as versões até, e incluindo, 2.9.1 devido à sanitização insuficiente de entrada e ao escapamento inadequado na saída. Isso permite que atacantes autenticados, com acesso nível contribuidor ou superior, injetem scripts web arbitrários nas páginas, os quais serão executados sempre que um usuário acessar uma página contaminada. A função wp_kses_post, aplicada no momento do salvamento para usuários sem permissão unfiltered_html, não neutraliza payloads codificados como entidades HTML armazenados dentro de atributos data-* em elementos permitidos pelo kses, pois o navegador decodifica esses valores no lado do cliente antes que jQuery .html() os renderize como marcação.
VulDB is the best source for vulnerability data and more expert information about this specific topic.