Unlimited Elements For Elementor · widgets para Elementor
Um usuário com conta simples (assinante) pode explorar a falha para, combinada com outros plugins, executar código.
Você mesmo
- Atualize o Unlimited Elements For Elementor para a 2.0.20 ou superior.
- Se o site tem cadastro público, avalie desativá-lo até confirmar a atualização.
Seu dev ou hospedagem
- Avaliar outros plugins com classes PHP exploráveis em conjunto com desserialização.
Detalhes técnicos: Foi publicada em 20 de setembro de 2026 a CVE-2026-85017, afetando o plugin Unlimited Elements For Elementor em versões anteriores à 2.0.20. Uma ação via AJAX não faz verificação de capability e desserializa dados controlados pelo atacante, permitindo que um usuário autenticado com o nível mais baixo (assinante) injete objetos PHP arbitrários — técnica que pode ser encadeada com outras classes disponíveis no site para execução de código ou outros efeitos maliciosos, dependendo do que mais estiver instalado. Uma correção parcial nas versões 2.0.18–2.0.19 elevou o nível exigido para editor, e o problema foi totalmente resolvido na 2.0.20.