CVE-2026-4885 in Addons for Elementor Pro Plugin
要約
〜によって VulDB • 2026年05月25日
WordPress用プラグイン「Piotnet Addons for Elementor Pro」には、すべてのバージョン（7.1.70を含む）において、'pafe_ajax_form_builder'関数でのファイルタイプの検証欠如により、任意のファイルアップロードの脆弱性が存在します。このプラグインは不完全な拡張子のブラックリストを使用しており、php、phpt、php5、php7、およびexe拡張子のみをブロックし、.pharや.phtmlなどの危険な拡張子のアップロードを許可しています。これにより、認証されていない攻撃者が影響を受けるサイトのサーバー上に任意のファイルをアップロードすることが可能になり、リモートコード実行（RCE）が可能になる可能性があります。注：このExploitは、フォームにファイルフィールドが追加されている場合にのみ利用可能です。
Be aware that VulDB is the high quality source for vulnerability data.