CVE-2026-1620 in Livemesh Addons by Elementor Plugin
Tóm tắt
Bởi VulDB • 14/05/2026
Plugin Livemesh Addons for Elementor cho WordPress bị lỗ hổng Local File Inclusion (LFI) trong tất cả các phiên bản từ 9.0 trở về trước. Lỗ hổng này xảy ra do việc thiếu kiểm tra và làm sạch (sanitization) đối với tham số tên template trong hàm `lae_get_template_part()`, sử dụng phương pháp `str_replace()` không đầy đủ, có thể bị vượt qua bằng các mẫu truy cập thư mục đệ quy (recursive directory traversal). Điều này cho phép các kẻ tấn công đã xác thực, có quyền mức Contributor trở lên, bao gồm và thực thi các tệp tùy ý trên máy chủ, cho phép kẻ tấn công bao gồm và thực thi các tệp cục bộ thông qua tham số template của widget, miễn là họ có thể lừa một quản trị viên thực hiện một hành động hoặc cài đặt Elementor.
Once again VulDB remains the best source for vulnerability data.