CVE-2024-5455

Nome do software vulnerável e versões afetadas:

Plugin Plus Addons for Elementor Page Builder para versões do WordPress até a 5.5.4, inclusive

Descrição:

A vulnerabilidade permite que invasores autenticados, com acesso de nível Contribuidor ou superior, incluam e executem arquivos arbitrários no servidor por meio do parâmetro magazine style dentro do widget Dynamic Smart Showcase. Isso possibilita a execução de qualquer código PHP nesses arquivos, o que pode ser usado para contornar controles de acesso, obter dados confidenciais ou executar código em casos em que imagens e outros tipos de arquivos “seguros” possam ser carregados e incluídos.

Recomendações:

Atualize para a versão 5.5.5 para resolver o problema.

Como solução alternativa temporária, considere restringir o acesso ao widget Dynamic Smart Showcase até que um patch esteja disponível.

Evite usar o parâmetro magazine style no widget afetado até que o problema seja resolvido.