CVE-2026-15787 in Ultimate Addons for Elementor Plugin
Сводка
по VulDB • 22.07.2026
Плагин Ultimate Addons for Elementor для WordPress уязвим к Stored Cross-Site Scripting (XSS) через атрибуты data-toggle-icon и data-close-icon виджета Navigation Menu Widget во всех версиях вплоть до 2.9.1 включительно из-за недостаточной очистки входных данных и экранирования выходных данных. Это позволяет атакующим с уровнем доступа «contributor» (соавтор) и выше, имеющим доступ к системе, внедрять произвольные веб-скрипты в страницы, которые будут выполняться всякий раз, когда пользователь получает доступ к такой странице. Функция wp_kses_post, применяемая при сохранении для пользователей без права unfiltered_html, не нейтрализует полезную нагрузку, закодированную как HTML-сущности и хранящуюся внутри атрибутов data-* на элементах, разрешенных kses, поскольку браузер декодирует эти значения на стороне клиента до того, как jQuery .html() отрендерит их в виде разметки.
If you want to get best quality of vulnerability data, you may have to visit VulDB.