PT-2025-51093 · WordPress · All-In-One Addons For Elementor – Widgetkit

D.Sim · Publicado 2025-12-13 · Atualizado 2025-12-13 · CVE-2025-8779

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.4

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:C/C:L/I:L/A:N

Nome do Software Vulnerável e Versões Afetadas All-in-One Addons for Elementor – WidgetKit versões anteriores à 2.5.7

Descrição O plugin All-in-One Addons for Elementor – WidgetKit para WordPress possui uma falha que permite que código malicioso seja armazenado e executado quando um usuário visualiza uma página contendo o código injetado. Isso impacta os widgets Team e Countdown devido ao tratamento inadequado de dados fornecidos pelo usuário, especificamente sanitização de entrada e escape de saída insuficientes dos atributos fornecidos pelo usuário. Um atacante com acesso de nível de contribuidor ou superior pode injetar scripts web arbitrários nas páginas. Esses scripts serão então executados nos navegadores dos usuários que acessarem as páginas afetadas.

Recomendações Atualize o All-in-One Addons for Elementor – WidgetKit para a versão 2.5.7 ou posterior.

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2025-8779

Produtos afetados

All-In-One Addons For Elementor – Widgetkit

Referências · 7

• https://plugins.trac.wordpress.org/changeset?sfp_email=&sfph_mail=&reponame=&old=3378162%40widgetkit-for-elementor&new=3378162%40widgetkit-for-elementor&sfp_email=&sfph_mail= · Nota
• https://wordpress.org/plugins/widgetkit-for-elementor/#developers · Nota
• https://wordfence.com/threat-intel/vulnerabilities/id/dbbdf433-8589-4f5f-b73d-2dba58f684a7?source=cve · Nota
• https://twitter.com/VulmonFeeds/status/1999908366714360283 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2025-8779 · Nota de Segurança
• https://twitter.com/CVEnew/status/1999865332924866990 · Publicação no Twitter
• https://t.me/CVEtracker/39710 · Publicação no Telegram