Vulnerabilidad en Happy Addons for Elementor de thehappymonster (CVE-2026-2918)

El plugin Happy Addons para Elementor para WordPress es vulnerable a Referencia Directa a Objeto Insegura en todas las versiones hasta la 3.21.0, inclusive, a través de la acción AJAX 'ha_condition_update'. Esto se debe a que el método 'validate_reqeust()' usa 'current_user_can('edit_posts', $template_id)' en lugar de 'current_user_can('edit_post', $template_id)' — lo que impide realizar una autorización a nivel de objeto. Además, la acción AJAX 'ha_get_current_condition' carece de una verificación de capacidad. Esto hace posible que atacantes autenticados, con acceso de nivel Colaborador o superior, modifiquen las condiciones de visualización de cualquier plantilla 'ha_library' publicada. Debido a que el renderizador 'cond_to_html()' genera valores de condición en atributos HTML sin un escape adecuado (usando concatenación de cadenas en lugar de 'esc_attr()'), un atacante puede inyectar atributos de gestor de eventos (por ejemplo, 'onmouseover') que ejecutan JavaScript cuando un administrador ve el panel de Condiciones de Plantilla, lo que resulta en Cross-Site Scripting Almacenado.