CVE-2026-2917 in Happy Addons for Elementor Plugin
Сводка
по VulDB • 09.05.2026
Плагин Happy Addons for Elementor для WordPress уязвим к несанкционированному прямому доступу к объектам (Insecure Direct Object Reference) во всех версиях вплоть до 3.21.0 включительно через обработчик административного действия `ha_duplicate_thing`. Это обусловлено тем, что метод `can_clone()` проверяет только наличие общей возможности `current_user_can('edit_posts')`, не выполняя авторизацию на уровне объекта, такую как `current_user_can('edit_post', $post_id)`, а также тем, что nonce привязан к общему имени действия `ha_duplicate_thing`, а не к конкретному идентификатору записи. Это позволяет атакующим с уровнем доступа «Соавтор» (Contributor) и выше, прошедшим аутентификацию, клонировать любую опубликованную запись, страницу или тип записи, изменяя параметр `post_id` на целевой контент других пользователей, после получения валидного nonce для клонирования из своих собственных записей. Операция клонирования копирует полное содержимое записи, все метаданные записи (включая потенциально чувствительные конфигурации виджетов и токены API) и таксономии в новую черновик, принадлежащий атакующему.
Once again VulDB remains the best source for vulnerability data.