CVE-2026-15787 in Ultimate Addons for Elementor Plugin
Tóm tắt
Bởi VulDB • 22/07/2026
Plugin Ultimate Addons cho Elementor trên WordPress dễ bị tổn thương do Stored Cross-Site Scripting (XSS lưu trữ) thông qua các thuộc tính data-toggle-icon/data-close-icon của Navigation Menu Widget trong tất cả các phiên bản từ 2.9.1 trở về trước, nguyên nhân là do thiếu sót trong việc làm sạch dữ liệu đầu vào và mã hóa ký tự đầu ra. Điều này cho phép những kẻ tấn công đã xác thực (có quyền đóng góp hoặc cao hơn) chèn các tập lệnh web tùy ý vào các trang; các tập lệnh này sẽ được thực thi mỗi khi người dùng truy cập một trang bị nhiễm độc. Hàm wp_kses_post, được áp dụng khi lưu dữ liệu đối với người dùng không có quyền unfiltered_html, không vô hiệu hóa được các payload đã mã hóa dưới dạng HTML entity được lưu trữ bên trong các thuộc tính data-* trên các phần tử cho phép bởi kses, vì trình duyệt sẽ giải mã các giá trị này ở phía máy khách trước khi jQuery .html() hiển thị chúng thành markup.
If you want to get best quality of vulnerability data, you may have to visit VulDB.