CVE-2026-9281
ŚrednieCVSS 6.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 12 - wyżej niż 12% wszystkich znanych CVE
Streszczenie
Wtyczka Master Addons For Elementor dla WordPressa do wersji 3.1.0 włącznie zawiera podatność na Stored Cross-Site Scripting (XSS) przez ustawienie strony 'jtlma_custom_js' (Custom JS Extension). Brak odpowiedniej sanityzacji wejścia i kodowania wyjścia umożliwia atak.
Ocena ryzyka
Uwierzytelniony atakujący z dostępem na poziomie autora lub wyższym może wstrzyknąć dowolne skrypty webowe, które wykonają się przy każdym dostępie do strony. Ominięcie kontroli unfiltered_html podczas zapisu pozwala na atak nawet bez interfejsu użytkownika.
Rekomendacja
Zaleca się natychmiastową aktualizację wtyczki do najnowszej wersji oraz weryfikację uprawnień użytkowników, szczególnie tych z rolą autora.
Inne podatności w Master Addons For Elementor
Zobacz wszystkie- CVE-2026-91015Średnie
Wtyczka Master Addons for Elementor w wersji przed 3.1.9 nie wykonuje kontroli uprawnień w akcji AJAX dezaktywującej popupy Popup Builder. Opiera się wyłącznie na nonce, który jest publicznie wyświetlany każdemu odwiedzającemu, co umożliwia nieuwierzytelnionym atakującym trwałe wyłączenie dowolnego popupu w witrynie.
- CVE-2026-62089Wysokie
Wtyczka Master Addons for Elementor firmy Pixar Labs w wersjach do 3.2.2 włącznie zawiera podatność polegającą na braku autoryzacji, co umożliwia nadużycie uprawnień. Nieuprawniony użytkownik może wykonać operacje, do których nie powinien mieć dostępu.
- CVE-2026-75921Wysokie
Wtyczka Master Addons for Elementor dla WordPressa do wersji 3.1.9 włącznie jest podatna na dowolne przesyłanie plików przez funkcję upload_template_kit. Wynika to z błędnej autoryzacji w handlerze AJAX, który wymaga tylko uprawnienia upload_files zamiast manage_options, oraz braku filtrowania typów plików po rozpakowaniu ZIP. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie edytora i wyżej przesyłanie plików, które mogą być wykonywalne, co prowadzi do zdalnego wykonania kodu.
- CVE-2025-63055Średnie
Podatność typu Stored XSS w dodatku Master Addons for Elementor firmy Liton Arefin. Brak odpowiedniej neutralizacji danych wejściowych podczas generowania strony internetowej umożliwia trwałe wstrzyknięcie skryptów.
Oryginalny opis (angielski, źródło NVD)
The Master Addons For Elementor – Widgets, Extensions, Theme Builder, Popup Builder & Template Kits plugin for WordPress is vulnerable to Stored Cross-Site Scripting via 'jtlma_custom_js' Page Setting (Custom JS Extension) in all versions up to, and including, 3.1.0 due to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers, with author-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. The unfiltered_html capability check is only enforced during Elementor control registration (UI rendering) and not during the save process, enabling Author-level users to inject the jtlma_custom_js setting directly via a crafted POST request to admin-ajax.php?action=elementor_ajax, bypassing the UI-level restriction entirely.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS