PT-2025-26945 · WordPress · Royal Elementor Addons

Asaf Mozes · Publicado 2025-06-26 · Atualizado 2025-06-26 · CVE-2025-5338

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.4

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:C/C:L/I:L/A:N

Nome do Software Vulnerável e Versões Afetadas: Plugin Royal Elementor Addons para WordPress versões até e incluindo a 1.7.1024

Descrição: O problema está relacionado a Cross-Site Scripting Armazenado via múltiplos widgets, devido à sanitização de entrada e escape de saída insuficientes em atributos fornecidos pelo usuário. Isso permite que atacantes autenticados com acesso de nível de colaborador ou superior injetem scripts web arbitrários em páginas que serão executados sempre que um usuário acessar uma página comprometida.

Recomendações: Para versões até e incluindo a 1.7.1024, atualize para uma versão superior à 1.7.1024 para resolver o problema. Como solução paliativa temporária, considere restringir o acesso aos widgets vulneráveis para minimizar o risco de exploração.

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2025-5338

Produtos afetados

Royal Elementor Addons

Referências · 11

• https://t.me/cvetracker/27110 · Publicação no Telegram
• https://wordpress.org/plugins/royal-elementor-addons/#developers · Nota
• https://twitter.com/VulmonFeeds/status/1938190170290806986 · Publicação no Twitter
• https://plugins.trac.wordpress.org/changeset/3338468 · Nota
• https://wordfence.com/threat-intel/vulnerabilities/id/201ff7b6-d72a-43c3-a7b1-c4f917c9d27f?source=cve · Nota
• https://plugins.trac.wordpress.org/changeset/3309082 · Correção
• https://nvd.nist.gov/vuln/detail/CVE-2025-5338 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2025-5338 · Aviso do Fabricante
• https://t.me/cvenotify/126726 · Publicação no Telegram
• https://twitter.com/CVEnew/status/1938171331566023082 · Publicação no Twitter
• https://plugins.trac.wordpress.org/browser/royal-elementor-addons/tags/1.7.1022/assets/js/frontend.js · Nota