CVE-2024-2385

Plugin Elementor Addons by Livemesh para o WordPress, versões até a 8.3.7, inclusive

A vulnerabilidade permite que invasores autenticados, com acesso de nível de colaborador ou superior, incluam e executem arquivos arbitrários no servidor por meio de vários widgets do plugin, utilizando o atributo style. Isso possibilita a execução de qualquer código PHP nesses arquivos, o que pode ser usado para contornar controles de acesso, obter dados confidenciais ou executar código em casos em que imagens e outros tipos de arquivos “seguros” possam ser carregados e incluídos.

Para versões até e incluindo a 8.3.7, atualize para uma versão superior à 8.3.7 para resolver a vulnerabilidade. Como solução temporária, considere restringir o acesso ao atributo style nos widgets do plugin para minimizar o risco de exploração. Além disso, restrinja o upload de arquivos apenas aos tipos necessários e garanta a validação e sanitização adequadas dos arquivos enviados para impedir a inclusão arbitrária de arquivos.