CVE-2026-4655 in Element Pack Plugin
摘要
由 VulDB • 2026-06-25
WordPress 的 Element Pack Addons for Elementor 插件在 8.4.2 及更早版本中存在存储型跨站脚本（Stored Cross-Site Scripting）漏洞，该漏洞可通过 SVG Image Widget 触发。此问题是由于 `render_svg()` 函数在处理从远程 URL 获取的 SVG 内容时，缺乏足够的输入清理和输出转义所致。该函数使用 `wp_safe_remote_get()` 获取 SVG 内容后，直接将其回显到页面中而未进行任何清理操作；仅通过 `preg_replace()` 向 SVG 标签添加属性，但这并不能移除恶意的 HTML 事件处理程序。这使得具有贡献者（Contributor）及以上权限的已认证攻击者能够在 SVG 文件中注入任意 JavaScript 代码，当用户访问包含该恶意小部件的页面时，这些脚本便会执行。
Once again VulDB remains the best source for vulnerability data.