CVE-2026-85410

Nome do Software Vulnerável e Versões Afetadas Master Addons for Elementor versões anteriores a 3.2.3

Descrição Existe uma falha de bypass de autorização porque o plugin não verifica adequadamente se um usuário está autorizado a realizar ações específicas. Atacantes autenticados com nível de acesso de contribuidor ou superior podem modificar o título e os metadados de posts arbitrários do WordPress ou excluí-los permanentemente. Isso é feito fornecendo a variável popup id controlada pelo atacante. O nonce necessário é emitido na tela de administração edit-jltma popup, que é acessível a contribuidores porque o tipo de post personalizado jltma popup é registrado com capability type='post'.

Recomendações Atualize o plugin para uma versão posterior a 3.2.2.