CVE-2026-13393
NiskieCVSS 3.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 3 - wyżej niż 3% wszystkich znanych CVE
Streszczenie
Wtyczka ElementsKit Elementor Addons dla WordPressa przed wersją 3.10.01 nie oczyszcza ani nie koduje ustawień elementów menu mega-menu przed ich zapisaniem i wyświetleniem na stronie. Nie wymaga również uprawnienia unfiltered_html do ich zapisania, co pozwala użytkownikom z uprawnieniami administracyjnymi na przechowywanie złośliwego JavaScriptu. W sieci multisite umożliwia to administratorowi podstrony (bez unfiltered_html) umieszczenie trwałego ataku XSS, który wykonuje się w sesjach super administratora sieci i odwiedzających.
Ocena ryzyka
Atakujący może wykraść sesje administratorów i odwiedzających, przejąć konta lub rozprzestrzenić złośliwe oprogramowanie na stronie.
Rekomendacja
Zaktualizuj wtyczkę ElementsKit Elementor Addons do wersji 3.10.01 lub nowszej.
Inne podatności w ElementsKit Elementor Addons
Oryginalny opis (angielski, źródło NVD)
The ElementsKit Elementor Addons WordPress plugin before 3.10.01 does not sanitize or escape certain megamenu menu-item settings before storing them and outputting them on the front end, and does not require the unfiltered_html capability to save them, allowing users with administrative capabilities to store malicious JavaScript; on a multisite network this lets a non-super subsite Administrator, who is denied unfiltered_html, plant a stored Cross-Site Scripting payload that executes in the sessions of the network Super Admin and site visitors.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS