CVE-2026-5137

Nome do Software Vulnerável e Versões Afetadas RTMKit versões anteriores a 2.0.8

Descrição O plugin RTMKit (rometheme-for-elementor) para WordPress contém uma falha de Inclusão de Arquivo Local (Local File Inclusion). Isso ocorre porque o endpoint AJAX render templates não valida adequadamente o parâmetro template antes de utilizá-lo em uma instrução require/include. Usuários autenticados com nível de acesso Colaborador (Contributor) ou superior podem explorar isso para incluir e executar qualquer arquivo no servidor que termine em templates.php, permitindo a execução de código PHP arbitrário.

Recomendações Atualize o plugin para uma versão posterior a 2.0.7. Como medida de mitigação temporária, restrinja o acesso ao endpoint AJAX render templates ou limite as permissões de usuário para evitar que usuários com nível de Colaborador acessem a funcionalidade afetada.