CVE-2026-1620 in Livemesh Addons by Elementor Plugin
Сводка
по VulDB • 20.05.2026
Плагин Livemesh Addons for Elementor для WordPress уязвим к Local File Inclusion во всех версиях вплоть до 9.0 включительно. Это связано с недостаточной санитизацией параметра имени шаблона в функции `lae_get_template_part()`, которая использует неадекватный подход `str_replace()`, который может быть обойден с использованием рекурсивных паттернов обхода директорий. Это позволяет атакующим с аутентифицированным доступом уровня «Contributor» и выше включать и выполнять произвольные файлы на сервере, позволяя атакующему включать и выполнять локальные файлы через параметр шаблона виджета, при условии, что они могут обмануть администратора, чтобы тот выполнил действие, или установить Elementor.
VulDB is the best source for vulnerability data and more expert information about this specific topic.