[monkeyvuln] / [vulnerabilidades] / plugin

Xpro Addons — 150+ Widgets for Elementor

xpro-elementor-addons

crítica 1alta 2media 19sin dato 3

∴ actualiza a la versión 1.7.9 o superior para cerrar todos los fallos

Datos actualizados el 19 de septiembre de 2026.

crítica 9.1CVE-2025-69312
Authenticated (Author+) Arbitrary File Upload
versiones afectadas:
< 1.4.20
corregido en:
1.4.20
publicada:
2026-01-22
alta 8.0CVE-2024-4471
Authenticated (Contributor+) PHP Object Injection
versiones afectadas:
< 1.4.3.2
corregido en:
1.4.3.2
publicada:
2024-05-23
alta 8.5CVE-2026-45214
Authenticated (Contributor+) SQL Injection
versiones afectadas:
< 1.5.2
corregido en:
1.5.2
publicada:
2026-05-12
media 6.4CVE-2024-2250
Authenticated (Contributor+) Stored Cross-Site Scripting
versiones afectadas:
< 1.4.3
corregido en:
1.4.3
publicada:
2024-03-29
media 4.8CVE-2024-34570
Cross Site Scripting (XSS)
versiones afectadas:
< 1.4.3.1
corregido en:
1.4.3.1
publicada:
2024-05-08
media 6.4CVE-2024-4440
Authenticated (Contributor+) Stored Cross-Site Scripting via Multiple Widgets
versiones afectadas:
< 1.4.3.1
corregido en:
1.4.3.1
publicada:
2024-05-14
media 5.4CVE-2024-43150
Cross Site Scripting (XSS)
versiones afectadas:
< 1.4.4.3
corregido en:
1.4.4.3
publicada:
2024-08-12
media 5.4CVE-2024-7791
Cross Site Scripting (XSS)
versiones afectadas:
< 1.4.4.4
corregido en:
1.4.4.4
publicada:
2024-08-27
media 4.3CVE-2024-10319
Sensitive Data Exposure
versiones afectadas:
< 1.4.6.1
corregido en:
1.4.6.1
publicada:
2024-11-05
media 6.5CVE-2024-54253
Authenticated (Contributor+) Stored Cross-Site Scripting
versiones afectadas:
< 1.4.6.6
corregido en:
1.4.6.6
publicada:
2024-12-09
media 4.3CVE-2024-12584
Authenticated (Contributor+) Post Disclosure via Post Duplication
versiones afectadas:
< 1.4.6.3
corregido en:
1.4.6.3
publicada:
2025-01-08
media 6.4CVE-2024-13649
Authenticated (Contributor+) Stored Cross-Site Scripting
versiones afectadas:
< 1.4.6.8
corregido en:
1.4.6.8
publicada:
2025-03-08
media 6.4CVE-2025-2108
Authenticated (Contributor+) Stored Cross-Site Scripting via 'Site Title' widget
versiones afectadas:
< 1.4.8
corregido en:
1.4.8
publicada:
2025-03-19
media 6.5CVE-2025-32163
Authenticated (Contributor+) Stored Cross-Site Scripting
versiones afectadas:
< 1.4.11
corregido en:
1.4.11
publicada:
2025-04-04
media 6.5CVE-2025-58195
Authenticated (Contributor+) Stored Cross-Site Scripting
versiones afectadas:
< 1.4.18
corregido en:
1.4.18
publicada:
2025-08-27
media 6.5CVE-2025-63044
Authenticated (Contributor+) Stored Cross-Site Scripting
versiones afectadas:
< 1.4.20
corregido en:
1.4.20
publicada:
2025-12-09
media 6.4CVE-2025-14149
Authenticated (Contributor+) Stored Cross-Site Scripting via Image Scroller Widget box link
versiones afectadas:
< 1.4.25
corregido en:
1.4.25
publicada:
2026-02-27
media 6.4CVE-2025-13368
Authenticated (Contributor+) Stored Cross-Site Scripting
versiones afectadas:
< 1.4.21
corregido en:
1.4.21
publicada:
2026-04-04
media 5.3CVE-2025-15369
Missing Authorization to Unauthenticated Xpro Template Creation
versiones afectadas:
< 1.5.1
corregido en:
1.5.1
publicada:
2026-05-20
media 6.4CVE-2026-11614
Authenticated (Author+) Stored Cross-Site Scripting via 'custom_attributes' Parameter of Multiple Widgets
versiones afectadas:
< 1.7.3
corregido en:
1.7.3
publicada:
2026-06-24
media 4.3CVE-2026-7105
Missing Authorization to Authenticated (Subscriber+) Arbitrary Post Creation via get_menu_content_editor() Function
versiones afectadas:
< 1.5.2
corregido en:
1.5.2
publicada:
2026-08-05
media 6.8CVE-2026-83547
Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') en Xpro Addons
versiones afectadas:
< 1.7.4
corregido en:
1.7.4
publicada:
2026-09-02
sin datoCVE-2026-2949
Authenticated (Contributor+) Stored Cross-Site Scripting via Icon Box Widget
versiones afectadas:
< 1.4.25
corregido en:
1.4.25
publicada:
2026-04-03
sin datoCVE-2026-84146
Unauthenticated Information Exposure
versiones afectadas:
< 1.7.8
corregido en:
1.7.8
publicada:
2026-09-04
sin datoCVE-2026-84088
Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') en Xpro Addons
versiones afectadas:
< 1.7.9
corregido en:
1.7.9
publicada:
2026-09-16

¿Tu WordPress usa este plugin? Compruébalo en menos de un minuto.

[comprueba si tu wordpress es vulnerable]