CVE-2026-15385

Nome do Software Vulnerável e Versões Afetadas RT Mega Menu versões anteriores a 1.5.2

Description O plugin não realiza uma verificação de capacidade na ação AJAX utilizada para salvar a configuração do mega-menu e as definições de cada item do menu. A única medida de segurança é um nonce que qualquer usuário logado pode ler em uma página de administração padrão. Consequentemente, um usuário com privilégios de assinante pode ativar o mega menu e armazenar um valor de estilo de item de menu. Esse valor é renderizado, sem a devida filtragem de saída, em um atributo de estilo na navegação pública. Um invasor pode romper esse atributo para persistir um manipulador de eventos JavaScript que é executado para cada visitante que passa o mouse na navegação, incluindo administradores, levando ao sequestro da sessão ou do site.

Recommendations Atualize para a versão 1.5.2 ou posterior.