WordPress · Qi Addons For Elementor · CVE-2024-4887
**Nome do software vulnerável e versões afetadas**
Plugin Qi Addons For Elementor para o WordPress, versões até a 1.7.2, inclusive
**Descrição**
A vulnerabilidade permite que invasores autenticados com acesso de nível Contribuidor ou superior incluam arquivos remotos no servidor, resultando na execução de código. Isso é possível por meio dos atributos `behavior` encontrados no shortcode `qi addons for elementor blog list`. Para explorar com sucesso, um invasor deve criar um diretório inexistente ou visar uma instância em que `file exists` não retorne false com um diretório inexistente no caminho.
**Recomendações**
Para versões até a 1.7.2, inclusive, atualize para uma versão que contenha uma correção para este problema, pois não há solução alternativa específica para essas versões.
Como solução alternativa temporária, considere desativar o shortcode `qi addons for elementor blog list` até que um patch esteja disponível.
Restrinja o acesso aos atributos `behavior` no shortcode para minimizar o risco de exploração.