CVE-2026-4885: Piotnet Addons for Elementor Pro - Upload irrestrito de arquivos

Visão geral

O plugin Piotnet Addons for Elementor Pro para WordPress é afetado pelo CVE-2026-4885, um problema de upload arbitrário de arquivos causado pela ausência de validação do tipo de arquivo na função de formulário pafe_ajax_form_builder. Segundo o registro, o plugin depende de uma lista de bloqueio incompleta de extensões, por isso alguns tipos de arquivo perigosos não são bloqueados. O problema só se aplica quando há um campo de arquivo no formulário.

Impacto

O registro descreve upload arbitrário de arquivos por atacantes não autenticados.
Os arquivos enviados podem viabilizar execução remota de código no servidor web, segundo o registro.
O vetor CVSS 3.1 atribuído pela Wordfence (AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H) indica acesso pela rede, baixa complexidade, nenhum privilégio e nenhuma interação do usuário, com alto impacto em confidencialidade, integridade e disponibilidade.

Produtos e versões afetadas

Produto: Piotnet Addons for Elementor Pro, plugin para WordPress.
A descrição indica que todas as versões até a 7.1.70 inclusive são afetadas.
Os campos estruturados de versões afetadas e correções estão vazios no registro, portanto nenhuma versão corrigida é listada nas fontes consultadas.

Status de exploração

O registro indica que a vulnerabilidade não consta no catálogo KEV da CISA, e nenhuma exploração confirmada na natureza aparece nas fontes consultadas. A probabilidade EPSS é 0,00869, com percentil de 0,57697. O EPSS é uma estimativa estatística e não confirma que a exploração esteja ocorrendo.

Correção e mitigação

Verifique o site do fornecedor em pafe.piotnet.com e o aviso da Wordfence para uma versão atualizada posterior à 7.1.70 e aplique-a assim que confirmada.
Se não houver atualização disponível, considere remover os campos de upload de formulários públicos até que o plugin seja corrigido.
Valide os uploads no lado do servidor com uma lista de tipos de arquivo permitidos, em vez de uma lista de bloqueio, e não dependa apenas de verificações no navegador.
Restrinja a execução de scripts dentro dos diretórios de upload no nível do servidor web.
Revise os papéis de usuário e mantenha o núcleo do WordPress e os demais plugins atualizados.

Orientações de detecção

Analise os diretórios de upload em busca de arquivos criados recentemente com extensões capazes de executar código ou inesperadas.
Analise os logs do servidor web e da aplicação em busca de envios de arquivos a endpoints de formulário vindos de origens inesperadas ou em volumes incomuns.
Use monitoramento de integridade de arquivos na árvore de diretórios do WordPress para sinalizar novos arquivos que não fazem parte de uma implantação conhecida.

Limitações das informações disponíveis

O registro não lista versões afetadas de forma estruturada e não informa versão corrigida além da menção à 7.1.70 na descrição.
O registro não possui título, por isso os títulos desta análise foram redigidos a partir da descrição.
A exposição depende de o site executar uma versão afetada e de seus formulários conterem campos de arquivo.
As fontes consultadas não documentam detalhes de exploração nem a disponibilidade de exploits públicos.
O status de origem do registro é Deferred.

Perguntas frequentes

O CVE-2026-4885 é explorado na natureza?

O registro indica que a vulnerabilidade não consta no catálogo KEV da CISA, e as fontes consultadas não confirmam exploração na natureza.

Quais versões são afetadas?

A descrição indica que todas as versões até a 7.1.70 inclusive são afetadas. A lista estruturada de versões afetadas está vazia no registro e nenhuma versão corrigida é listada.

A exploração exige autenticação ou uma configuração específica de formulário?

O registro afirma que atacantes não autenticados podem enviar arquivos, mas o problema só se aplica quando um campo de arquivo é adicionado a um formulário.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.