PT-2026-47125 · WordPress · Master Addons For Elementor

Athiwat Tiprasaharn + 2 · Publicado 2026-06-06 · Atualizado 2026-06-12 · CVE-2026-9281

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.4

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:C/C:L/I:L/A:N

Nome do Software Vulnerável e Versões Afetadas Master Addons For Elementor versões anteriores a 3.1.1

Descrição O plugin está sujeito a Cross-Site Scripting (XSS) Armazenado devido à sanitização de entrada e escape de saída insuficientes. Atacantes autenticados com nível de acesso de autor ou superior podem injetar scripts web arbitrários em páginas. Isso é feito ignorando as restrições de interface do usuário e enviando uma requisição POST manipulada para o endpoint "admin-ajax.php?action=elementor ajax" para manipular a configuração de página jtlma custom js. Os scripts são executados sempre que um usuário visita a página afetada.

Recomendações Atualize o plugin para uma versão posterior a 3.1.0. Como mitigação temporária, restrinja usuários de nível de autor de fazerem requisições POST para o endpoint "admin-ajax.php?action=elementor ajax".

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2026-9281

Produtos afetados

Master Addons For Elementor

Referências · 13

• https://plugins.trac.wordpress.org/browser/master-addons/tags/3.1.0/inc/modules/utilities/custom-js/custom-js.php#L80 · Nota
• https://plugins.trac.wordpress.org/changeset?sfp_email=&sfph_mail=&reponame=&old=3556818%40master-addons&new=3556818%40master-addons&sfp_email=&sfph_mail= · Nota
• https://t.me/CVEtracker/56045 · Publicação no Telegram
• https://t.me/cveNotify/166339 · Publicação no Telegram
• https://plugins.trac.wordpress.org/browser/master-addons/tags/3.0.2/inc/modules/utilities/custom-js/custom-js.php#L214 · Nota
• https://plugins.trac.wordpress.org/browser/master-addons/tags/3.1.0/inc/modules/utilities/custom-js/custom-js.php#L214 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2026-9281 · Nota de Segurança
• https://plugins.trac.wordpress.org/browser/master-addons/tags/3.0.2/inc/modules/utilities/custom-js/custom-js.php#L80 · Nota
• https://plugins.trac.wordpress.org/browser/master-addons/tags/3.0.2/inc/modules/utilities/custom-js/custom-js.php#L206 · Nota
• https://wordfence.com/threat-intel/vulnerabilities/id/5b8e052a-6e60-4455-96c9-b2a3e86773da?source=cve · Nota
• https://twitter.com/CVEnew/status/2063584082194223267 · Publicação no Twitter
• https://twitter.com/atomicedgeWAF/status/2065302258741325955 · Publicação no Twitter
• https://plugins.trac.wordpress.org/browser/master-addons/tags/3.1.0/inc/modules/utilities/custom-js/custom-js.php#L206 · Nota