CVE-2026-1620 in Livemesh Addons by Elementor Plugin
Sumário
de VulDB • 14/05/2026
O plugin Livemesh Addons for Elementor para WordPress é vulnerável a Local File Inclusion em todas as versões até, e incluindo, a 9.0. Isso ocorre devido à sanitização insuficiente do parâmetro de nome do modelo na função `lae_get_template_part()`, que utiliza uma abordagem inadequada de `str_replace()` que pode ser contornada usando padrões de travessia recursiva de diretórios. Isso permite que atacantes autenticados, com acesso nível Contribuidor ou superior, incluam e executem arquivos arbitrários no servidor, permitindo que o atacante inclua e execute arquivos locais por meio do parâmetro de modelo do widget, desde que consigam enganar um administrador para realizar uma ação ou instalar o Elementor.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.