CVE-2026-62089
WysokieCVSS 7.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 8 - wyżej niż 8% wszystkich znanych CVE
Streszczenie
Wtyczka Master Addons for Elementor firmy Pixar Labs w wersjach do 3.2.2 włącznie zawiera podatność polegającą na braku autoryzacji, co umożliwia nadużycie uprawnień. Nieuprawniony użytkownik może wykonać operacje, do których nie powinien mieć dostępu.
Ocena ryzyka
Brak kontroli autoryzacji pozwala atakującemu na wykonywanie działań z uprawnieniami wyższymi niż posiadane, co może prowadzić do modyfikacji konfiguracji witryny. Może to skutkować przejęciem kontroli nad serwisem WordPress.
Rekomendacja
Zaktualizuj wtyczkę Master Addons for Elementor do wersji nowszej niż 3.2.2. Sprawdź, czy w witrynie nie ma śladów nieautoryzowanych zmian.
Inne podatności w Master Addons for Elementor
Zobacz wszystkie- CVE-2026-91015Średnie
Wtyczka Master Addons for Elementor w wersji przed 3.1.9 nie wykonuje kontroli uprawnień w akcji AJAX dezaktywującej popupy Popup Builder. Opiera się wyłącznie na nonce, który jest publicznie wyświetlany każdemu odwiedzającemu, co umożliwia nieuwierzytelnionym atakującym trwałe wyłączenie dowolnego popupu w witrynie.
- CVE-2026-75921Wysokie
Wtyczka Master Addons for Elementor dla WordPressa do wersji 3.1.9 włącznie jest podatna na dowolne przesyłanie plików przez funkcję upload_template_kit. Wynika to z błędnej autoryzacji w handlerze AJAX, który wymaga tylko uprawnienia upload_files zamiast manage_options, oraz braku filtrowania typów plików po rozpakowaniu ZIP. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie edytora i wyżej przesyłanie plików, które mogą być wykonywalne, co prowadzi do zdalnego wykonania kodu.
- CVE-2026-9281Średnie
Wtyczka Master Addons For Elementor dla WordPressa do wersji 3.1.0 włącznie zawiera podatność na Stored Cross-Site Scripting (XSS) przez ustawienie strony 'jtlma_custom_js' (Custom JS Extension). Brak odpowiedniej sanityzacji wejścia i kodowania wyjścia umożliwia atak.
- CVE-2025-63055Średnie
Podatność typu Stored XSS w dodatku Master Addons for Elementor firmy Liton Arefin. Brak odpowiedniej neutralizacji danych wejściowych podczas generowania strony internetowej umożliwia trwałe wstrzyknięcie skryptów.
Oryginalny opis (angielski, źródło NVD)
Missing Authorization vulnerability in Pixar Labs Master Addons for Elementor allows Privilege Abuse. This issue affects Master Addons for Elementor: from n/a through 3.2.2.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS