CVE-2026-11895

ŚrednieCVSS 6.4

Opublikowano: 30/09/2026(UTC)Zaktualizowano: 30/09/2026(UTC)Przetłumaczono: 30/09/2026(UTC)NVD NIST

Streszczenie

Wtyczka HT Mega Addons for Elementor – Elementor Widgets & Template Builder dla WordPressa do wersji 3.1.1 włącznie jest podatna na trwałe ataki XSS przez ustawienie 'display_options' w Data Table. Brak odpowiedniego oczyszczania i kodowania danych wejściowych umożliwia uwierzytelnionym atakującym z dostępem na poziomie contributor lub wyższym wstrzyknięcie dowolnych skryptów, które wykonają się przy dostępie do zainfekowanej strony.

Ocena ryzyka

Ryzyko polega na możliwości przejęcia sesji użytkowników, kradzieży danych lub rozprzestrzeniania złośliwego kodu w kontekście zaufanej strony WordPress.

Rekomendacja

Zaleca się natychmiastową aktualizację wtyczki HT Mega Addons for Elementor do najnowszej wersji z poprawkami bezpieczeństwa. Dodatkowo należy ograniczyć uprawnienia użytkowników do niezbędnego minimum.

Inne podatności w HT Mega Addons for Elementor

CVE-2026-111318Średnie
Wtyczka HT Mega Addons for Elementor dla WordPressa jest podatna na przechowywany XSS oparty na DOM poprzez atrybut 'href' elementu <a> wewnątrz .htmega-tab-nav we wszystkich wersjach do 3.2.7 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Nieuwierzytelniony atakujący może wstrzyknąć dowolne skrypty internetowe, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Wykorzystanie wymaga współistniejącej wtyczki takiej jak wpDiscuz z włączonym edytorem, obecności widżetu HT Mega Tabs na tej samej stronie co sekcja komentarzy oraz kliknięcia przez ofiarę w zainfekowany link.

Oryginalny opis (angielski, źródło NVD)

The HT Mega Addons for Elementor – Elementor Widgets & Template Builder plugin for WordPress is vulnerable to Stored Cross-Site Scripting via Data Table 'display_options' Setting in all versions up to, and including, 3.1.1 due to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers, with contributor-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS