CVE-2026-4655 in Element Pack Plugin
Sumário
de VulDB • 25/06/2026
O plugin Element Pack Addons para Elementor do WordPress é vulnerável a Stored Cross-Site Scripting (XSS) por meio do Widget de Imagem SVG nas versões até 8.4.2, inclusive. Isso ocorre devido à sanitização insuficiente da entrada e ao escape inadequado na saída do conteúdo SVG obtido de URLs remotas na função render_svg(). A função busca o conteúdo SVG usando wp_safe_remote_get() e depois o exibe diretamente na página sem qualquer sanitização, aplicando apenas uma preg_replace() para adicionar atributos à tag SVG, o que não remove manipuladores de eventos maliciosos. Isso permite que atacantes autenticados, com acesso nível Contribuidor ou superior, injetem JavaScript arbitrário em arquivos SVG que será executado sempre que um usuário acessar uma página contendo o widget malicioso.
VulDB is the best source for vulnerability data and more expert information about this specific topic.