CVE-2026-91015
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 8 - wyżej niż 8% wszystkich znanych CVE
Streszczenie
Wtyczka Master Addons for Elementor w wersji przed 3.1.9 nie wykonuje kontroli uprawnień w akcji AJAX dezaktywującej popupy Popup Builder. Opiera się wyłącznie na nonce, który jest publicznie wyświetlany każdemu odwiedzającemu, co umożliwia nieuwierzytelnionym atakującym trwałe wyłączenie dowolnego popupu w witrynie.
Ocena ryzyka
Atakujący może trwale wyłączyć popupy w witrynie, co może zakłócić komunikację marketingową, wyświetlanie ważnych informacji lub funkcje konwersji. Ryzyko dotyczy integralności i dostępności treści witryny.
Rekomendacja
Zaktualizuj wtyczkę Master Addons for Elementor do wersji 3.1.9 lub nowszej. Sprawdź, czy popupy nie zostały nieautoryzowanie wyłączone.
Inne podatności w Master Addons for Elementor
Zobacz wszystkie- CVE-2026-62089Wysokie
Wtyczka Master Addons for Elementor firmy Pixar Labs w wersjach do 3.2.2 włącznie zawiera podatność polegającą na braku autoryzacji, co umożliwia nadużycie uprawnień. Nieuprawniony użytkownik może wykonać operacje, do których nie powinien mieć dostępu.
- CVE-2026-75921Wysokie
Wtyczka Master Addons for Elementor dla WordPressa do wersji 3.1.9 włącznie jest podatna na dowolne przesyłanie plików przez funkcję upload_template_kit. Wynika to z błędnej autoryzacji w handlerze AJAX, który wymaga tylko uprawnienia upload_files zamiast manage_options, oraz braku filtrowania typów plików po rozpakowaniu ZIP. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie edytora i wyżej przesyłanie plików, które mogą być wykonywalne, co prowadzi do zdalnego wykonania kodu.
- CVE-2026-9281Średnie
Wtyczka Master Addons For Elementor dla WordPressa do wersji 3.1.0 włącznie zawiera podatność na Stored Cross-Site Scripting (XSS) przez ustawienie strony 'jtlma_custom_js' (Custom JS Extension). Brak odpowiedniej sanityzacji wejścia i kodowania wyjścia umożliwia atak.
Oryginalny opis (angielski, źródło NVD)
The Master Addons for Elementor WordPress plugin before 3.1.9 does not perform an authorization check on the AJAX action that deactivates its Popup Builder popups, relying only on a nonce that is publicly output to every visitor, allowing unauthenticated attackers to permanently disable any popup on the site.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS