CVE-2026-15285
ŚrednieCVSS 6.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 17 - wyżej niż 17% wszystkich znanych CVE
Streszczenie
Wtyczka Plus Addons for Elementor dla WordPressa do wersji 6.4.11 zawiera podatność na trwałe ataki XSS (Cross-Site Scripting) z poziomu uwierzytelnionego użytkownika (rola Współautor lub wyższa). Podatność występuje w widżecie Button przez parametr `custom_attributes`, gdzie funkcja `render` przekazuje nieprzefiltrowany ciąg znaków do funkcji `tp_senitize_js_input()`, która może być ominięta.
Ocena ryzyka
Atakujący może wstrzyknąć złośliwy kod JavaScript, który wykona się w przeglądarkach innych użytkowników (w tym administratorów), co może prowadzić do kradzieży sesji, modyfikacji treści strony lub dalszej eskalacji uprawnień.
Rekomendacja
Należy natychmiast zaktualizować wtyczkę Plus Addons for Elementor do wersji 6.4.12 lub nowszej, która zawiera poprawkę usuwającą podatność.
Inne podatności w Plus Addons for Elementor
Zobacz wszystkie- CVE-2026-9243Średnie
Wtyczka Plus Addons for Elementor dla WordPressa do wersji 6.4.15 zawiera podatność na przechowywany XSS przez parametr 'carousel_direction' w widżecie Carousel Anything. Niedostateczne filtrowanie wyjścia w funkcji render() pozwala na wstrzyknięcie atrybutu HTML, co umożliwia uwierzytelnionym atakującym (od poziomu contributor) wstrzyknięcie dowolnego skryptu.
- CVE-2025-9698Średnie
Wtyczka WordPress Plus Addons for Elementor w wersjach przed 6.3.16 nie sanityzuje zawartości plików SVG, co może pozwolić użytkownikom z minimalną rolą Author na przeprowadzenie ataków Stored Cross-Site Scripting.
Oryginalny opis (angielski, źródło NVD)
The Plus Addons for Elementor plugin for WordPress was vulnerable to Authenticated (Contributor+) Stored Cross-Site Scripting via the Button widget's `custom_attributes` setting in versions up to and including 6.4.11. The `render` function in `modules/widgets/tp_button.php` passed the raw `custom_attributes` string through `tp_senitize_js_input()`. This filter is bypassable. The issue is patched in version 6.4.12.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS