CVE-2026-9281
ŚrednieCVSS 6.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 12 - wyżej niż 12% wszystkich znanych CVE
Streszczenie
Wtyczka Master Addons For Elementor dla WordPressa do wersji 3.1.0 włącznie zawiera podatność na Stored Cross-Site Scripting (XSS) przez ustawienie strony 'jtlma_custom_js' (Custom JS Extension). Brak odpowiedniej sanityzacji wejścia i kodowania wyjścia umożliwia atak.
Ocena ryzyka
Uwierzytelniony atakujący z dostępem na poziomie autora lub wyższym może wstrzyknąć dowolne skrypty webowe, które wykonają się przy każdym dostępie do strony. Ominięcie kontroli unfiltered_html podczas zapisu pozwala na atak nawet bez interfejsu użytkownika.
Rekomendacja
Zaleca się natychmiastową aktualizację wtyczki do najnowszej wersji oraz weryfikację uprawnień użytkowników, szczególnie tych z rolą autora.
Inne podatności w Master Addons For Elementor
Zobacz wszystkie- CVE-2026-62089Wysokie
Wtyczka Master Addons for Elementor firmy Pixar Labs w wersjach do 3.2.2 włącznie zawiera podatność polegającą na braku autoryzacji, co umożliwia nadużycie uprawnień. Nieuprawniony użytkownik może wykonać operacje, do których nie powinien mieć dostępu.
- CVE-2026-75921Wysokie
Wtyczka Master Addons for Elementor dla WordPressa do wersji 3.1.9 włącznie jest podatna na dowolne przesyłanie plików przez funkcję upload_template_kit. Wynika to z błędnej autoryzacji w handlerze AJAX, który wymaga tylko uprawnienia upload_files zamiast manage_options, oraz braku filtrowania typów plików po rozpakowaniu ZIP. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie edytora i wyżej przesyłanie plików, które mogą być wykonywalne, co prowadzi do zdalnego wykonania kodu.
Oryginalny opis (angielski, źródło NVD)
The Master Addons For Elementor – Widgets, Extensions, Theme Builder, Popup Builder & Template Kits plugin for WordPress is vulnerable to Stored Cross-Site Scripting via 'jtlma_custom_js' Page Setting (Custom JS Extension) in all versions up to, and including, 3.1.0 due to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers, with author-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. The unfiltered_html capability check is only enforced during Elementor control registration (UI rendering) and not during the save process, enabling Author-level users to inject the jtlma_custom_js setting directly via a crafted POST request to admin-ajax.php?action=elementor_ajax, bypassing the UI-level restriction entirely.