PT-2026-33589 · WordPress · Flipbox Addon For Elementor

Athiwat Tiprasaharn + 1 · Publicado 2026-04-18 · Atualizado 2026-04-18 · CVE-2026-6048

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.4

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:C/C:L/I:L/A:N

Name of the Vulnerable Software and Affected Versions Flipbox Addon for Elementor versões anteriores a 2.1.2

Description A validação insuficiente de nomes de atributos personalizados no campo custom attributes da URL do botão do widget Flipbox permite que atacantes autenticados com nível de acesso de autor ou superior injetem scripts web arbitrários. O plugin utiliza esc html() no nome do atributo, o que não impede o uso de atributos de manipuladores de eventos, como onmouseover ou onclick. Esses scripts são executados sempre que um usuário acessa uma página afetada.

Recommendations Atualize para uma versão posterior a 2.1.1.

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2026-6048

Produtos afetados

Flipbox Addon For Elementor

Referências · 8

• https://twitter.com/CVEnew/status/2045467321922179245 · Publicação no Twitter
• https://wordfence.com/threat-intel/vulnerabilities/id/faa6ad51-7b3b-4fe1-95fa-e9b63943d533?source=cve · Nota
• https://plugins.trac.wordpress.org/browser/ultimate-flipbox-addon-for-elementor/tags/2.1.2/widget/stories/ufae-frontend/class-ufae-frontend-loop.php#L253 · Nota
• https://twitter.com/VulmonFeeds/status/2045396277915976028 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-6048 · Nota de Segurança
• https://plugins.trac.wordpress.org/browser/ultimate-flipbox-addon-for-elementor/tags/2.1.1/widget/simple/ufae-frontend/class-ufae-frontend-item.php#L250 · Nota
• https://plugins.trac.wordpress.org/browser/ultimate-flipbox-addon-for-elementor/tags/2.1.1/widget/stories/ufae-frontend/class-ufae-frontend-loop.php#L248 · Nota
• https://plugins.trac.wordpress.org/browser/ultimate-flipbox-addon-for-elementor/tags/2.1.2/widget/simple/ufae-frontend/class-ufae-frontend-item.php#L263 · Nota