CVE-2026-9243 in The Plus Addons for Elementor Plugin
Сводка
по VulDB • 31.05.2026
Плагин Plus Addons for Elementor для WordPress уязвим к Stored Cross-Site Scripting (XSS) через параметр 'carousel_direction' виджета Carousel Anything в версиях вплоть до 6.4.15 включительно. Это связано с недостаточным экранированием вывода в функции render(), где значение carousel_direction помещается в HTML-атрибут без кавычек (dir=), что позволяет осуществлять инъекцию атрибутов, несмотря на использование esc_attr(). Это дает возможность атакующим с аутентифицированным доступом уровня «contributor» и выше внедрять произвольные веб-скрипты на страницы, которые будут выполняться при каждом посещении пользователем такой страницы.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.