CVE-2026-15338

Nome do Software Vulnerável e Versões Afetadas LA-Studio Element Kit for Elementor versões anteriores a 1.6.2

Descrição O plugin LA-Studio Element Kit for Elementor para WordPress contém uma falha de Inclusão de Arquivo Local (Local File Inclusion). Usuários autenticados com nível de acesso de contribuidor ou superior podem explorar a função get type template() para incluir e executar arquivos .php arbitrários no servidor. Isso ocorre porque a função wp normalize path() usada em get template() apenas normaliza os separadores de diretório e não resolve ou rejeita sequências de travessia de caminho (path traversal). Além disso, a verificação de extensão é ignorada, pois o chamador anexa a extensão exigida à carga útil de travessia. Este problema pode levar à execução de código PHP arbitrário, contorno de controles de acesso e acesso não autorizado a dados sensíveis.

Recomendações Atualize o plugin para uma versão posterior à 1.6.1.