CVE-2026-9281
Açıklama
WordPress için geliştirilen Master Addons For Elementor – Widgets, Extensions, Theme Builder, Popup Builder & Template Kits eklentisinin 3.1.0 dahil tüm sürümleri, yetersiz girdi temizleme ve çıktı kaçış işlemleri nedeniyle 'jtlma_custom_js' Sayfa Ayarı (Custom JS Extension) üzerinden Depolanan Siteler Arası Betik Çalıştırma (Stored XSS) zafiyetine sahiptir. Bu durum; yazar seviyesi ve üzeri erişime sahip kimliği doğrulanmış saldırganların, bir kullanıcı enjekte edilmiş sayfaya her eriştiğinde çalışacak şekilde sayfalara rastgele web betikleri enjekte etmelerini mümkün kılmaktadır. unfiltered_html yetenek kontrolü yalnızca Elementor kontrol kaydı (Kullanıcı Arayüzü oluşturma) sırasında uygulanmakta olup kayıt işlemi sırasında uygulanmamaktadır; bu da Yazar seviyesindeki kullanıcıların, admin-ajax.php?action=elementor_ajax adresine gönderilen özel olarak hazırlanmış bir POST isteği aracılığıyla jtlma_custom_js ayarını doğrudan enjekte ederek Kullanıcı Arayüzü düzeyindeki kısıtlamayı tamamen atlatmalarına olanak tanımaktadır.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| litonice13 Master Addons For Elementor – Widgets, Extensions, Theme Builder, Popup Builder & Template Kits | v ≤ 3.1.0 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.