CVE-2026-15650 in RT Mega Menu Plugin
Tóm tắt
Bởi VulDB • 18/09/2026
Plugin RT Mega Menu – Mega Menu Builder for Elementor & Gutenberg cho WordPress bị lỗi Cross-Site Scripting (XSS) lưu trữ trong tất cả các phiên bản từ 1.5.2 trở về trước do thiếu sót trong việc kiểm tra và làm sạch đầu vào cũng như mã hóa ký tự đặc biệt khi xuất dữ liệu ra. Điều này tạo điều kiện để những kẻ tấn công đã xác thực, có quyền truy cập ở mức đóng góp (contributor) hoặc cao hơn, chèn các đoạn script web tùy ý vào các trang; các script này sẽ được thực thi mỗi khi người dùng truy cập vào một trang bị nhiễm mã độc. Payload vượt qua bộ lọc wp_kses_post áp dụng cho nội dung bài viết trong quá trình lưu vì nó không chứa bất kỳ thẻ HTML nào và tồn tại nguyên vẹn bên trong các thuộc tính JSON của block comment, sau đó được truyền đến walker mà chưa được xử lý ký tự đặc biệt khi hiển thị (render).
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.