PT-2026-40897 · WordPress · The Royal Elementor Addons/Templates

Romain Deperne · Publicado 2026-05-14 · Atualizado 2026-05-14 · CVE-2026-6504

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.4

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:C/C:L/I:L/A:N

Nome do Software Vulnerável e Versões Afetadas Royal Elementor Addons and Templates versões anteriores a 1.7.1059

Descrição O plugin Royal Elementor Addons and Templates para WordPress contém um problema de Cross-Site Scripting Armazenado causado por sanitização de entrada e escape de saída insuficientes. Atacantes autenticados com nível de acesso de Colaborador ou superior podem injetar scripts web arbitrários através do parâmetro title tag. Esses scripts são executados sempre que um usuário visita a página afetada.

Recomendações Atualize o plugin para uma versão posterior à 1.7.1058. Como medida paliativa temporária, restrinja o acesso de usuários com permissões de Colaborador para evitar o uso do parâmetro title tag.

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2026-6504

Produtos afetados

The Royal Elementor Addons/Templates

Referências · 7

• https://plugins.trac.wordpress.org/changeset/3525351/royal-elementor-addons/trunk/modules/video-playlist/widgets/wpr-video-playlist.php · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2026-6504 · Nota de Segurança
• https://wordfence.com/threat-intel/vulnerabilities/id/ed86e902-7637-481d-9005-7025187ba200?source=cve · Nota
• https://twitter.com/VulmonFeeds/status/2054870545435402295 · Publicação no Twitter
• https://t.me/cveNotify/163420 · Publicação no Telegram
• https://plugins.trac.wordpress.org/changeset/3525351/royal-elementor-addons/trunk/modules/posts-timeline/widgets/wpr-posts-timeline.php · Nota
• https://t.me/CVEtracker/53768 · Publicação no Telegram