PT-2026-41840 · WordPress · Piotnet Addons For Elementor

Wannes Verwimp · Publicado 2026-05-19 · Atualizado 2026-05-28 · CVE-2026-4885

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas Piotnet Addons for Elementor Pro versões anteriores a 7.1.71

Descrição A falta de validação do tipo de arquivo na função pafe ajax form builder() permite que atacantes não autenticados façam o upload de arquivos arbitrários para o servidor. O plugin utiliza uma lista negra de extensões incompleta que não bloqueia extensões perigosas como .phar ou .phtml, o que pode levar à execução remota de código. Este problema só pode ser explorado se um campo de arquivo tiver sido adicionado ao formulário.

Recomendações Atualize para uma versão posterior a 7.1.70. Como medida paliativa temporária, evite adicionar campos de arquivo aos formulários até que a atualização seja aplicada.

Correção

Unrestricted File Upload

Enumeração de Fraquezas

CWE-434

Identificadores relacionados

CVE-2026-4885

Produtos afetados

Piotnet Addons For Elementor

Referências · 6

• https://wordfence.com/threat-intel/vulnerabilities/id/ffff2ff3-769d-4eb2-acbe-d8ce6f042581?source=cve · Nota
• https://twitter.com/CVEnew/status/2056670076162761166 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-4885 · Nota de Segurança
• https://reddit.com/r/StopBadBots/comments/1tqd1k6/critical_38_plugins_no_fix_no_mercy_if_youve_got · Publicação no Reddit
• https://twitter.com/OrizonCyber/status/2056653640165667136 · Publicação no Twitter
• https://pafe.piotnet.com · Nota