PT-2020-13343 · Elementor · Elementor Pro

Publicado 2020-05-17 · Atualizado 2021-05-21 · CVE-2020-13126

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.9

Crítica

Vetor base

AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Versões do plugin Elementor Pro anteriores à 2.9.4

Descrição

Uma falha no plugin Elementor Pro permite que um invasor com a função de Assinante faça upload de arquivos executáveis arbitrários, resultando na execução remota de código. Essa falha já foi explorada em ataques reais.

Recomendações

Para versões do plugin Elementor Pro anteriores à 2.9.4, atualize para a versão 2.9.4 ou posterior para resolver a falha. Como solução temporária, considere restringir os recursos de upload de arquivos para usuários com a função de Assinante até que a atualização seja aplicada.

Correção

RCE

Unrestricted File Upload

Enumeração de Fraquezas

CWE-434

Identificadores relacionados

CVE-2020-13126

Produtos afetados

Elementor Pro

Referências · 7

• https://t.me/cvenotify/3862 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2020-13126 · Nota de Segurança
• https://t.me/cvenotify/14802 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2020-13126 · Aviso do Fabricante
• https://wpvulndb.com/vulnerabilities/10214 · Nota
• https://wordfence.com/blog/2020/05/combined-attack-on-elementor-pro-and-ultimate-addons-for-elementor-puts-1-million-sites-at-risk · Nota
• https://t.me/cvenotify/3863 · Publicação no Telegram