Resumo: Uma falha de Cross-Site Scripting (CVE-2026-105871, CVSS 6.5) foi divulgada pela Patchstack no Element Pack Elementor Addons, da BdThemes, afetando as versões até a 8.8.6; a correção está na 8.8.7. A vulnerabilidade foi reportada em setembro e tem prioridade baixa, mas a campanha recente que usou XSS em Ninja Forms e WPC Product Bundles para criar administradores ocultos mostra que esse tipo de falha vem sendo reaproveitado por atacantes.
Fonte: Patchstack
O que fazer: Atualize o Element Pack (Lite ou Pro) para a versão 8.8.7 ou superior. Se o plugin não estiver em uso, desative e remova. Mantenha o WAF ativo e confira periodicamente a lista de administradores direto no banco (wp user list --role=administrator).