Vulnerabilidades

Vulnerabilidade no Plugin The Plus Addons for Elementor: Stored Cross-Site Scripting (XSS) Autenticado

O plugin The Plus Addons for Elementor – Elementor Addons, Page Templates, Widgets, Mega Menu, WooCommerce, amplamente utilizado em sites WordPress, apresenta uma vulnerabilidade do tipo Stored Cross-Site Scripting (XSS). Essa falha foi identificada em todas as versões do plugin até a 6.2.2, incluindo esta. A vulnerabilidade, catalogada como CVE-2025-1287, possui uma pontuação CVSS de 6.4 (Média), indicando um risco moderado, porém significativo, para sites afetados.

Descrição da Vulnerabilidade

A vulnerabilidade ocorre devido à sanitização insuficiente de entradas e à falta de escape adequado na saída de dados nos widgets Countdown, Syntax Highlighter e Page Scroll. Isso permite que atacantes autenticados com permissões de Contribuidor ou superior injetem scripts maliciosos nas páginas do site. Esses scripts são armazenados e executados sempre que um usuário acessa a página comprometida.

Impacto

Confidencialidade: Dados sensíveis dos usuários podem ser roubados.
Integridade: Conteúdos maliciosos podem ser injetados no site.
Reputação: A credibilidade do site pode ser afetada devido à injeção de scripts maliciosos.

Versões Afetadas

Todas as versões até 6.2.2.

Versão Corrigida

A versão 6.2.3 (ou superior) corrige a vulnerabilidade. Recomenda-se a atualização imediata.

Recomendações

Atualize o Plugin: Se você utiliza o plugin The Plus Addons for Elementor, atualize para a versão 6.2.3 ou superior.
Revise Permissões de Usuários: Limite o acesso de usuários com permissões de Contribuidor ou superior, especialmente em sites com múltiplos colaboradores.
Monitore Atividades: Fique atento a alterações suspeitas no conteúdo do site.

Referências

Conclusão

Essa vulnerabilidade de Stored Cross-Site Scripting (XSS) representa um risco moderado, mas significativo, para sites que utilizam o plugin The Plus Addons for Elementor. A atualização imediata e a revisão das permissões de usuários são essenciais para mitigar o risco de exploração. Mantenha seus plugins sempre atualizados e siga as melhores práticas de segurança para proteger seu site.