CVE-2026-15787

Nome do Software Vulnerável e Versões Afetadas Ultimate Addons for Elementor versões anteriores a 2.9.2

Descrição A sanitização de entrada e a codificação de saída insuficientes no Navigation Menu Widget permitem que atacantes autenticados com nível de acesso de contribuidor ou superior realizem Stored Cross-Site Scripting. Atacantes podem injetar scripts web arbitrários através dos atributos data-toggle-icon e data-close-icon. Isso ocorre porque a função wp kses post não neutraliza cargas úteis codificadas em entidades HTML dentro de atributos data-* em elementos permitidos, que o navegador então decodifica no lado do cliente antes que o jQuery .html() os renderize como marcação.

Recomendações Atualize para uma versão posterior à 2.9.1.