Hack Alerta

Plugin King Addons para Elementor sob ataque (CVE-2025-8489) permite criação de admins

CVE-2025-8489 é uma vulnerabilidade crítica no plugin King Addons para Elementor (CVSS 9.8) que permite a criação de contas administrativas por atacantes não autenticados; a falha está sendo explorada em ambiente real, segundo reportagens.

Uma vulnerabilidade crítica em um plugin popular do ecossistema WordPress está sendo explorada ativamente para conceder privilégios administrativos a atacantes não autenticados.

O que foi reportado

A falha, identificada como CVE-2025-8489 e com CVSS 9.8 segundo a matéria, impacta o plugin King Addons para Elementor. Trata-se de uma condição de escalonamento de privilégios que permite que um atacante não autenticado especifique a role de administrador durante o fluxo de registro, efetivamente criando contas administrativas sem autorização.

Vetor de exploração

De acordo com a reportagem, o exploit permite que, durante o registro de usuário, o ator malicioso forneça o papel (role) de administrador e assim obtenha acesso administrativo. A matéria indica exploração ativa em ambientes reais, o que amplia a urgência da mitigação para sites que ainda utilizam o plugin vulnerável.

Impacto e alcance

  • CVE: CVE-2025-8489
  • CVSS reportado: 9.8
  • Produto afetado: King Addons (plugin para Elementor)

Plugins de construtores como Elementor são amplamente utilizados por sites institucionais e comerciais; uma falha que permite criação de administradores pode levar a tomadas de controle de sites, implantações de backdoors, defacements e, potencialmente, movimentos laterais em ambientes que compartilham credenciais ou integrações.

Mitigações

A matéria original reporta a exploração em andamento, mas não fornece na íntegra a lista de versões corrigidas ou instruções detalhadas de atualização no texto disponível. Administradores de sites devem verificar imediatamente a disponibilidade de uma correção junto ao fornecedor do plugin e restringir temporariamente funcionalidades de registro público quando possível.

Limitações das informações

O texto consultado não detalha quais versões exatas são afetadas (o trecho disponível é truncado neste ponto) nem traz um PoC público detalhado. Ainda assim, a combinação de CVSS alto e exploração ativa torna a questão de alta prioridade operacional.

Fonte: The Hacker News


Baseado em publicação original de The Hacker News
Publicado pela Redação Hack Alerta com base em fontes externas citadas e monitoramento editorial do Hack Alerta. Para decisões técnicas, operacionais ou jurídicas, confirme sempre os detalhes na fonte original.