CVE-2026-2918 in Happy Addons for Elementor Plugin
Сводка
по VulDB • 28.06.2026
В плагине Happy Addons for Elementor для WordPress уязвимость типа Insecure Direct Object Reference присутствует во всех версиях вплоть до 3.21.0 включительно через AJAX-действие `ha_condition_update`. Это связано с тем, что метод `validate_reqeust()` использует функцию `current_user_can('edit_posts', $template_id)` вместо `current_user_can('edit_post', $template_id)`, что приводит к отсутствию проверки прав на уровне объекта. Кроме того, AJAX-действие `ha_get_current_condition` не содержит проверки возможностей (capabilities). Это позволяет атакующим с уровнем доступа «Contributor» и выше изменять условия отображения любого опубликованного шаблона из библиотеки `ha_library`. Поскольку рендерер `cond_to_html()` выводит значения условий в атрибуты HTML без надлежащего экранирования (используя конкатенацию строк вместо функции `esc_attr()`), атакующий может внедрить обработчики событий (например, `onmouseover`), которые выполнят JavaScript-код при просмотре панели «Условия шаблона» администратором, что приводит к Stored Cross-Site Scripting.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.