CVE-2024-12272

WP Travel Engine – Elementor Widgets, versões até e incluindo a 1.3.7

O plugin WP Travel Engine – Elementor Widgets para WordPress está vulnerável à inclusão de arquivos locais (Local File Inclusion). Isso permite que invasores autenticados, com acesso de nível Contribuidor ou superior, incluam e executem arquivos arbitrários no servidor, possibilitando a execução de qualquer código PHP contido nesses arquivos. Isso pode ser usado para contornar controles de acesso, obter dados confidenciais ou executar código em casos em que imagens e outros tipos de arquivos “seguros” possam ser carregados e incluídos.

Para versões até e incluindo a 1.3.7, atualize para uma versão posterior à 1.3.7 para resolver o problema. Como solução temporária, considere restringir o acesso aos widgets vulneráveis para minimizar o risco de exploração. Evite usar o plugin até que o problema seja resolvido. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.