CVE-2026-6127
El plugin Elementor Website Builder para WordPress es vulnerable a Stored Cross-Site Scripting (XSS) a través del campo meta _elementor_data en versiones hasta y inclusive la 4.0.4. Esto se debe a una falta de sanitización adecuada al procesar solicitudes REST API codificadas en formularios. El plugin registra el campo meta _elementor_data con show_in_rest pero omite sanitize_callback, confiando en cambio en un filtro rest_pre_insert_post (función sanitize_post_data) que solo sanitiza cuerpos de solicitud codificados en JSON. Cuando un colaborador envía una solicitud PATCH codificada en formulario al API REST de WordPress, la llamada json_decode() en el cuerpo crudo devuelve null, lo que causa que toda la sanitización sea omitida. Los datos no sanitizados se guardan luego a través de update_post_meta() y posteriormente se imprime sin escapar a través de múltiples sumideros de widget incluyendo la función print_unescaped_setting del widget HTML. Esto permite a los atacantes autenticados, con acceso nivel colaborador o superior, inyectar scripts web arbitrarios en páginas que se ejecutarán cada vez que un usuario acceda a una página inyectada.
Traducción automática del texto original de la fuente. Ver original
Fuente: CVE.org