CVE-2026-2918 in Happy Addons for Elementor Plugin
Sumário
de VulDB • 19/06/2026
O plugin Happy Addons for Elementor para WordPress é vulnerável a Insecure Direct Object Reference em todas as versões até, e incluindo, a 3.21.0, por meio da ação AJAX `ha_condition_update`. Isso ocorre devido ao método `validate_reqeust()` usar `current_user_can('edit_posts', $template_id)` em vez de `current_user_can('edit_post', $template_id)`, falhando na autorização em nível de objeto. Além disso, a ação AJAX `ha_get_current_condition` não possui uma verificação de capacidade (capability check). Isso permite que atacantes autenticados, com acesso de nível Contribuidor ou superior, modifiquem as condições de exibição de qualquer modelo `ha_library` publicado. Como o renderizador `cond_to_html()` exibe os valores das condições em atributos HTML sem a devida escapamento (usando concatenação de strings em vez de `esc_attr()`), um atacante pode injetar atributos de manipuladores de eventos (por exemplo, `onmouseover`) que executam JavaScript quando um administrador visualiza o painel de Condições do Modelo, resultando em Stored Cross-Site Scripting.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.