WordPress Elementor 的 Livemesh Addons 插件存在数据未授权修改和存储型跨站脚本攻击 (Stored Cross-Site Scripting) 漏洞，影响所有版本，包括 9.0 及更早版本。这是由于 AJAX 处理程序 `lae_admin_ajax()` 缺少授权检查，以及多个复选框设置字段的输出转义不足造成的。这使得具有订阅者 (Subscriber) 级别或更高权限的经过身份验证的攻击者可以在插件设置中注入任意 Web 脚本。

攻击者可以利用此XSS漏洞在Livemesh Addons for Elementor插件的设置页面注入任意Web脚本。当管理员访问该页面时，这些脚本将执行，从而可能导致敏感信息泄露、会话劫持，甚至恶意代码执行。攻击者可以窃取管理员的cookie，冒充管理员进行操作，或者在网站上植入恶意内容。由于该漏洞需要认证访问权限，因此攻击者通常需要先获取一个有效的WordPress账户。

1. 已保留2026-01-28
2. 发布日期2026-04-16
3. 修改日期2026-04-22
4. EPSS 更新日期2026-04-23

目前，官方尚未发布修复版本。作为临时缓解措施，建议管理员禁用Livemesh Addons for Elementor插件，或限制对插件设置页面的访问权限，仅允许授权管理员访问。此外，可以考虑使用Web应用防火墙(WAF)来过滤潜在的恶意请求。如果无法禁用插件，请确保对所有输入数据进行严格的输出编码，以防止XSS攻击。在更新插件后，请确认漏洞已修复，可以通过检查插件设置页面，确保没有可疑的脚本注入。

活跃安装数

40K已知

插件评分

4.8

需要WordPress版本

5.8+

兼容至

6.8.5

需要PHP版本

5.8+