CVE-2025-63055
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 9 - wyżej niż 9% wszystkich znanych CVE
Streszczenie
Podatność typu Stored XSS w dodatku Master Addons for Elementor firmy Liton Arefin. Brak odpowiedniej neutralizacji danych wejściowych podczas generowania strony internetowej umożliwia trwałe wstrzyknięcie skryptów.
Ocena ryzyka
Złośliwy skrypt może zostać zapisany na serwerze i wykonywany przy każdym wyświetleniu strony, co może prowadzić do kradzieży danych, przejęcia kont administratora lub rozprzestrzeniania złośliwego oprogramowania.
Rekomendacja
Zaktualizuj dodatek Master Addons for Elementor do wersji nowszej niż 2.0.9.9.4, która zawiera poprawkę eliminującą podatność.
Inne podatności w Master Addons for Elementor
Zobacz wszystkie- CVE-2026-91015Średnie
Wtyczka Master Addons for Elementor w wersji przed 3.1.9 nie wykonuje kontroli uprawnień w akcji AJAX dezaktywującej popupy Popup Builder. Opiera się wyłącznie na nonce, który jest publicznie wyświetlany każdemu odwiedzającemu, co umożliwia nieuwierzytelnionym atakującym trwałe wyłączenie dowolnego popupu w witrynie.
- CVE-2026-62089Wysokie
Wtyczka Master Addons for Elementor firmy Pixar Labs w wersjach do 3.2.2 włącznie zawiera podatność polegającą na braku autoryzacji, co umożliwia nadużycie uprawnień. Nieuprawniony użytkownik może wykonać operacje, do których nie powinien mieć dostępu.
- CVE-2026-75921Wysokie
Wtyczka Master Addons for Elementor dla WordPressa do wersji 3.1.9 włącznie jest podatna na dowolne przesyłanie plików przez funkcję upload_template_kit. Wynika to z błędnej autoryzacji w handlerze AJAX, który wymaga tylko uprawnienia upload_files zamiast manage_options, oraz braku filtrowania typów plików po rozpakowaniu ZIP. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie edytora i wyżej przesyłanie plików, które mogą być wykonywalne, co prowadzi do zdalnego wykonania kodu.
- CVE-2026-9281Średnie
Wtyczka Master Addons For Elementor dla WordPressa do wersji 3.1.0 włącznie zawiera podatność na Stored Cross-Site Scripting (XSS) przez ustawienie strony 'jtlma_custom_js' (Custom JS Extension). Brak odpowiedniej sanityzacji wejścia i kodowania wyjścia umożliwia atak.
Oryginalny opis (angielski, źródło NVD)
Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') vulnerability in Liton Arefin Master Addons for Elementor master-addons allows Stored XSS.This issue affects Master Addons for Elementor: from n/a through <= 2.0.9.9.4.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS