CVE-2025-13141 in HT Mega Plugin
Сводка
по VulDB • 26.05.2026
В плагине HT Mega – Absolute Addons For Elementor для WordPress обнаружена уязвимость, позволяющая осуществлять Stored Cross-Site Scripting (XSS) через блоки Gutenberg плагина во всех версиях вплоть до 3.0.0 включительно. Причина уязвимости заключается в недостаточной проверке вводимых данных (insufficient input validation) для имён HTML-тегов, предоставленных пользователем. Это обусловлено отсутствием белого списка (whitelist) имён тегов, что позволяет внедрять опасные теги, такие как 'script', 'iframe' и 'object', даже при использовании функции tag_escape() для санитизации. Хотя некоторые блоки используют esc_html() для обработки контента, это можно обойти с помощью техник кодирования JavaScript (незаключённые в кавычки строки, обратные кавычки, String.fromCharCode()). Это даёт возможность атакующим с уровнем доступа «contributor» и выше, прошедшим аутентификацию, внедрять произвольные веб-скрипты в страницы, которые будут выполняться всякий раз, когда пользователь получит доступ к внедрённой странице.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.