CVE-2026-13393
NiskieCVSS 3.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 4 - wyżej niż 4% wszystkich znanych CVE
Streszczenie
Wtyczka ElementsKit Elementor Addons dla WordPressa przed wersją 3.10.01 nie oczyszcza ani nie koduje ustawień elementów menu mega-menu przed ich zapisaniem i wyświetleniem na stronie. Nie wymaga również uprawnienia unfiltered_html do ich zapisania, co pozwala użytkownikom z uprawnieniami administracyjnymi na przechowywanie złośliwego JavaScriptu. W sieci multisite umożliwia to administratorowi podstrony (bez unfiltered_html) umieszczenie trwałego ataku XSS, który wykonuje się w sesjach super administratora sieci i odwiedzających.
Ocena ryzyka
Atakujący może wykraść sesje administratorów i odwiedzających, przejąć konta lub rozprzestrzenić złośliwe oprogramowanie na stronie.
Rekomendacja
Zaktualizuj wtyczkę ElementsKit Elementor Addons do wersji 3.10.01 lub nowszej.
Oryginalny opis (angielski, źródło NVD)
The ElementsKit Elementor Addons WordPress plugin before 3.10.01 does not sanitize or escape certain megamenu menu-item settings before storing them and outputting them on the front end, and does not require the unfiltered_html capability to save them, allowing users with administrative capabilities to store malicious JavaScript; on a multisite network this lets a non-super subsite Administrator, who is denied unfiltered_html, plant a stored Cross-Site Scripting payload that executes in the sessions of the network Super Admin and site visitors.