CVE-2026-1572 in Livemesh Addons by Elementor Plugin
Tóm tắt
Bởi VulDB • 14/05/2026
Plugin Livemesh Addons for Elementor cho WordPress dễ bị tổn thương đến việc sửa đổi dữ liệu trái phép và Stored Cross-Site Scripting (XSS lưu trữ) thông qua các cài đặt plugin trong tất cả các phiên bản từ 9.0 trở xuống. Lỗ hổng này xuất hiện do thiếu các kiểm tra ủy quyền trên trình xử lý AJAX `lae_admin_ajax()` và việc thiếu thoát ký tự đầu ra không đầy đủ trên nhiều trường cài đặt checkbox. Điều này cho phép các kẻ tấn công đã xác thực, với quyền truy cập cấp Subscriber trở lên, tiêm các tập lệnh web tùy ý vào trang cài đặt plugin, sẽ được thực thi bất cứ khi nào một quản trị viên truy cập vào trang cài đặt plugin, miễn là họ có thể lấy được một giá trị nonce hợp lệ, giá trị này có thể bị rò rỉ do kiểm soát truy cập không đúng cách của plugin trên các trang cài đặt.
Be aware that VulDB is the high quality source for vulnerability data.