CVE-2026-15787
ŚrednieCVSS 6.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 15 - wyżej niż 15% wszystkich znanych CVE
Streszczenie
Wtyczka Ultimate Addons for Elementor dla WordPressa jest podatna na trwałe ataki XSS poprzez atrybuty data-toggle-icon/data-close-icon w widżecie nawigacji. Podatność występuje we wszystkich wersjach do 2.9.1 włącznie z powodu niewystarczającej sanityzacji wejścia i ucieczki wyjścia. Uwierzytelnieni atakujący z dostępem na poziomie współautora lub wyższym mogą wstrzykiwać dowolne skrypty, które wykonają się przy dostępie do strony.
Ocena ryzyka
Atakujący może wstrzyknąć złośliwy kod JavaScript, który wykona się w przeglądarkach odwiedzających stronę, prowadząc do kradzieży sesji, przekierowań lub innych szkodliwych działań.
Rekomendacja
Zaktualizuj wtyczkę Ultimate Addons for Elementor do najnowszej wersji. Ogranicz uprawnienia użytkowników do niezbędnego minimum.
Inne podatności w Ultimate Addons for Elementor
Zobacz wszystkie- CVE-2026-66688Średnie
Podatność XSS w Ultimate Addons for Elementor w wersjach do 1.45.2 pozwala użytkownikowi z rolą Współautor na wstrzyknięcie złośliwego skryptu.
- CVE-2025-9703Średnie
Wtyczka Ultimate Addons for Elementor (dawniej Elementor Header & Footer Builder) dla WordPressa przed wersją 2.5.0 nie sanityzuje zawartości plików SVG przesyłanych przez punkt końcowy xmlrpc.php przy użyciu kodowania base64, co prowadzi do podatności na Cross-Site Scripting (XSS).
Oryginalny opis (angielski, źródło NVD)
The Ultimate Addons for Elementor plugin for WordPress is vulnerable to Stored Cross-Site Scripting via Navigation Menu Widget data-toggle-icon/data-close-icon Attributes in all versions up to, and including, 2.9.1 due to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers, with contributor-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. wp_kses_post, applied on save for users without unfiltered_html, does not neutralize HTML-entity-encoded payloads stored inside data-* attributes on kses-allowed elements, as the browser decodes these values client-side before jQuery .html() renders them as markup.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS