CVE-2026-15284

Nome do Software Vulnerável e Versões Afetadas King Addons for Elementor versões anteriores a 51.1.63

Description O Cross-Site Scripting (XSS) Armazenado ocorre quando uma aplicação inclui dados não confiáveis em uma página web sem a devida validação ou escape, permitindo que um script malicioso seja armazenado permanentemente no servidor e executado no navegador de outros usuários. O problema existe devido à sanitização insuficiente de entrada na função add to submissions(), que utiliza sanitize text field() no parâmetro form page id, falhando em remover caracteres de aspas duplas antes de armazenar o valor nos metadados do post. Além disso, a função king addons submissions custom column content() não realiza o escape do valor armazenado usando esc url() ao concatená-lo em um atributo href HTML via admin url(). Atacantes autenticados com nível de acesso de assinante ou superior podem explorar isso para injetar scripts web arbitrários que serão executados quando um usuário acessar a página afetada.

Recommendations Atualize o King Addons for Elementor para uma versão posterior à 51.1.62.