CVE-2026-120524

News Kit Addons For Elementor <= 1.4.8 - Authenticated (Subscriber+) Stored Cross-Site Scripting via nekit_update_mega_menu_form AJAX Action

CVSS 3.1Medium

6.4/ 10.0

Опубликовано

3 ноября 2026 г.

Обновлено

3 ноября 2026 г.

В атаках

Не зафиксировано

Публичный PoC

Отсутствует

Анализ подготовлен:CVE Futuretools Threat Intelligence

Верификация: MITRE CVE List · CISA KEV · NIST NVD

ОФИЦИАЛЬНЫЙ ПАТЧ НЕ ОПУБЛИКОВАН

Исправленная версия не указана. Проверьте бюллетень производителя.

01 // ТЕХНИЧЕСКАЯ СУТЬ УЯЗВИМОСТИ

Плагин News Kit Addons For Elementor для WordPress уязвим к хранимой межсайтовой нейтрализации скриптов (Stored XSS). Атакующий может внедрить произвольный вредоносный код на страницы сайта.

02 // АНАТОМИЯ АТАКИ И ДЕФЕКТ ЛОГИКИ

Ошибка приоритета операторов в handle_scripts() подключает скрипты с nekit-admin-nonce в экраны подписчиков, а sanitize_text_field() вызывается до json_decode(), позволяя последовательностям \u003c/\u003e обходить фильтрацию. Аутентифицированный пользователь с правами подписчика может перезаписать _elementor_data через параметр formData.

03 // СИСТЕМНЫЕ ПОСЛЕДСТВИЯ

Выполнение произвольных скриптов в браузере пользователя при посещении внедренной страницы.

04 // МАТРИЦА ЗАТРОНУТЫХ ПАКЕТОВ

Точные диапазоны версий не зафиксированы в источниках

05 // ПЕРВОИСТОЧНИКИ И БЮЛЛЕТЕНИ (6)

www.wordfence.comhttps://www.wordfence.com/threat-intel/vulnerabilities/id/7793c171-8aca-461c-9942-9f4d075be5ae?source=cve
plugins.trac.wordpress.orghttps://plugins.trac.wordpress.org/browser/news-kit-elementor-addons/tags/1.4.7/admin/admin.php#L1582
plugins.trac.wordpress.orghttps://plugins.trac.wordpress.org/browser/news-kit-elementor-addons/tags/1.4.7/admin/admin.php#L1578
plugins.trac.wordpress.orghttps://plugins.trac.wordpress.org/browser/news-kit-elementor-addons/tags/1.4.7/admin/admin.php#L732
plugins.trac.wordpress.orghttps://plugins.trac.wordpress.org/browser/news-kit-elementor-addons/tags/1.4.7/admin/admin.php#L748
plugins.trac.wordpress.orghttps://plugins.trac.wordpress.org/changeset?reponame=&old=3749965%40news-kit-elementor-addons&new=3749965%40news-kit-elementor-addons

06 // ЦИТИРОВАНИЕ ДАННЫХ И ИСТОЧНИК

Для включения аналитической карточки в отчёты по безопасности, матрицы рисков или исследовательские публикации используйте стандартизированный формат цитирования:

Библиографическая ссылка (Plain text)

CVE Futuretools (2026). Анализ уязвимости CVE-2026-120524: News Kit Addons For Elementor <= 1.4.8 - Authenticated (Subscriber+) Stored Cross-Site Scripting via nekit_update_mega_menu_form AJAX Action. URL: https://cve.futuretools.ru/cve/CVE-2026-120524

BibTeX формат (LaTeX)

@misc{cve_futuretools_cve_2026_120524,
  title = {{CVE-2026-120524: News Kit Addons For Elementor <= 1.4.8 - Authenticated (Subscriber+) Stored Cross-Site Scripting via nekit_update_mega_menu_form AJAX Action}},
  author = {{CVE Futuretools}},
  year = {2026},
  howpublished = {\url{https://cve.futuretools.ru/cve/CVE-2026-120524}},
  note = {Оперативный инженерный анализ киберугроз}
}