PT-2026-48392 · WordPress · Athemes Addons For Elementor

Romain Deperne · Publicado 2026-06-10 · Atualizado 2026-06-10 · CVE-2026-8613

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.4

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:C/C:L/I:L/A:N

Nome do Software Vulnerável e Versões Afetadas aThemes Addons for Elementor versões anteriores a 1.1.9

Description O plugin está sujeito a Stored Cross-Site Scripting, uma falha onde scripts maliciosos são armazenados permanentemente no servidor alvo. Isso ocorre devido à sanitização de entrada e escape de saída insuficientes na configuração do widget title tag. Atacantes autenticados com nível de acesso de contribuidor ou superior podem injetar scripts web arbitrários em páginas. Esses scripts são executados quando um usuário visita a página afetada. O problema impacta especificamente o widget Posts Timeline e o widget Posts Carousel (incluindo suas skins default, Banner e Modern), pois esses componentes carecem da validação de whitelist utilizada no widget Posts List.

Recommendations Atualize para uma versão posterior a 1.1.8.

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2026-8613

Produtos afetados

Athemes Addons For Elementor

Referências · 12

• https://plugins.trac.wordpress.org/browser/athemes-addons-for-elementor-lite/tags/1.1.8/inc/modules/widgets/posts-carousel/skins/class-posts-carousel-banner.php#L226 · Nota
• https://twitter.com/CVEnew/status/2064709841336029605 · Publicação no Twitter
• https://plugins.trac.wordpress.org/browser/athemes-addons-for-elementor-lite/tags/1.1.8/inc/modules/widgets/posts-timeline/class-posts-timeline.php#L1351 · Nota
• https://plugins.trac.wordpress.org/browser/athemes-addons-for-elementor-lite/tags/1.1.8/inc/modules/widgets/posts-carousel/skins/class-posts-carousel-modern.php#L208 · Nota
• https://plugins.trac.wordpress.org/browser/athemes-addons-for-elementor-lite/tags/1.1.8/inc/modules/widgets/posts-carousel/class-posts-carousel.php#L1413 · Nota
• https://plugins.trac.wordpress.org/browser/athemes-addons-for-elementor-lite/tags/1.1.8/inc/functions.php#L1375 · Nota
• https://twitter.com/atomicedgeWAF/status/2064823682212516071 · Publicação no Twitter
• https://t.me/CVEtracker/56429 · Publicação no Telegram
• https://plugins.trac.wordpress.org/browser/athemes-addons-for-elementor-lite/tags/1.1.9/inc/functions.php#L1374 · Nota
• https://plugins.trac.wordpress.org/changeset?old_path=/athemes-addons-for-elementor-lite/tags/1.1.8&new_path=/athemes-addons-for-elementor-lite/tags/1.1.9 · Nota
• https://wordfence.com/threat-intel/vulnerabilities/id/2e7aed9e-1b56-4ce6-b338-1d9ab80594c3?source=cve · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2026-8613 · Nota de Segurança