CVE-2026-39500该漏洞存在于 Themesflat Addons for Elementor 插件中，源于对网页生成过程中输入的不当中和处理。攻击者利用此存储型跨站脚本（XSS）漏洞，仅需低权限账户即可将恶意脚本注入系统。当管理员或其他用户访问受感染页面时，恶意代码将在其浏览器中执行，从而窃取敏感信息或劫持会话。该漏洞影响从 n/a 至 2.3.2 的所有版本。
Themesflat Addons for Elementor 插件在开发过程中未能正确过滤和转义用户提交的数据，特别是在处理特定组件或扩展的参数时。攻击者可以利用低权限账户（如订阅者或作者）登录后台，在易受攻击的字段（如 Elementor 编辑器中的特定小部件设置）中注入恶意的 JavaScript 代码。由于缺乏输出编码，该 payload 会被持久化存储在数据库中。一旦具有高权限的管理员访问渲染了该恶意内容的页面，payload 将被触发并执行。利用此漏洞，攻击者可完全接管管理员账户，进而控制整个 WordPress 站点，安装后门或窃取用户数据。CVSS 3.1 评分反映了其通过网络传播、需要低权限及对机密性、完整性、可用性造成影响的特性。