CVE-2026-15650
ŚrednieCVSS 6.4Streszczenie
Wtyczka RT Mega Menu – Mega Menu Builder for Elementor & Gutenberg dla WordPress jest podatna na Stored Cross-Site Scripting przez atrybut bloku 'pointer_menu_item' we wszystkich wersjach do 1.5.2 włącznie, z powodu niewystarczającej sanityzacji wejścia i kodowania wyjścia. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie współautora i wyższym wstrzyknięcie dowolnych skryptów internetowych na strony, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Ładunek omija filtrowanie wp_kses_post zastosowane do treści posta przy zapisie, ponieważ nie zawiera tagów HTML i przetrwa nietknięty w atrybutach JSON komentarza bloku, docierając do walkera bez kodowania w czasie renderowania.
Ocena ryzyka
Ryzyko obejmuje wykonanie złośliwych skryptów w przeglądarkach użytkowników, co może prowadzić do kradzieży sesji, przejęcia konta lub rozprzestrzeniania złośliwego oprogramowania. Atak wymaga uwierzytelnienia, ale na niskim poziomie uprawnień.
Rekomendacja
Zaleca się zaktualizowanie wtyczki RT Mega Menu do wersji nowszej niż 1.5.2, która zawiera poprawkę sanityzacji wejścia i kodowania wyjścia.
Inne podatności w RT Mega Menu
Zobacz wszystkie- CVE-2026-14855Średnie
Wtyczka RT Mega Menu dla WordPress jest podatna na Stored Cross-Site Scripting przez parametr 'css[left]' we wszystkich wersjach do 1.5.1 włącznie, z powodu niewystarczającej sanityzacji wejścia i kodowania wyjścia. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie subskrybenta i wyższym wstrzyknięcie dowolnych skryptów internetowych na strony, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę.
- CVE-2026-15385Średnie
Wtyczka RT Mega Menu do WordPressa przed wersją 1.5.2 nie przeprowadza kontroli uprawnień na akcji AJAX zapisującej konfigurację mega-menu i ustawienia poszczególnych pozycji menu. Jedyną barierą jest nonce, który każdy zalogowany użytkownik może odczytać ze standardowej strony administracyjnej. Użytkownik z rolą Subskrybenta może włączyć mega-menu na menu witryny i zapisać wartość stylu pozycji menu, która jest renderowana bez escapowania w atrybucie style w publicznej nawigacji. Poprzez wyjście z tego atrybutu użytkownik utrwala procedurę obsługi zdarzeń JavaScript, która wykonuje się dla każdego odwiedzającego, który najeżdża na nawigację, w tym administratorów, co prowadzi do przejęcia sesji/witryny.
Oryginalny opis (angielski, źródło NVD)
The RT Mega Menu – Mega Menu Builder for Elementor & Gutenberg plugin for WordPress is vulnerable to Stored Cross-Site Scripting via 'pointer_menu_item' Block Attribute in all versions up to, and including, 1.5.2 due to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers, with contributor-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. The payload bypasses wp_kses_post filtering applied to post content on save because it contains no HTML tags and survives intact inside the block comment's JSON attributes, reaching the walker unescaped at render time.