CVE-2026-75921
CVE-2026-75921 : vulnérabilité Master Addons for Elementor – Elementor Addons, Widgets, Mega Menu Builder, Popup Builder, Widget Builder & Template Kits
Master Addons for Elementor <= 3.1.9 – Incorrect Authorization to Authenticated (Editor+) Arbitrary File Upload via upload_template_kit AJAX ZIP Extraction
Master Addons for Elementor – Elementor Addons, Widgets, Mega Menu Builder, Popup Builder, Widget Builder & Template Kits est affecté par un défaut permettant le téléversement arbitraire de fichiers associée à exécution de code à distance dans toutes les versions jusqu’à la version 3.1.9 incluse. Son score CVSS atteint 7,2 sur 10, ce qui correspond à une gravité élevée.
Une exploitation réussie peut permettre l’envoi d’un fichier qui ne devrait pas être accepté, avec un risque supplémentaire si le serveur peut ensuite l’interpréter ou l’exécuter. Le scénario publié repose sur un accès au travers du réseau, un compte Éditeur ou supérieur, une complexité faible et aucune action d’un autre utilisateur.
Le correctif est disponible dans la version 3.2.0. Nous vous recommandons de confirmer la version installée, de sauvegarder le site puis d’appliquer le correctif et de contrôler les fichiers récemment créés ou modifiés ainsi que les journaux du serveur. La priorité opérationnelle calculée est Élevée.
Conditions d’exploitation
Une exploitation peut être déclenchée au travers du réseau. La complexité d’exploitation est décrite comme faible. L’accès requis est évalué comme Éditeur ou rôle supérieur. Aucune interaction d’un autre utilisateur n’est requise.
Impact potentiel
Un fichier non prévu peut être déposé sur le serveur. Le risque augmente lorsque son emplacement permet une exécution par PHP ou une consultation publique. Le vecteur CVSS signale un impact potentiel sur la confidentialité, l’intégrité et la disponibilité.
Lecture opérationnelle
- Dépôt de fichiers non prévus
- Persistance de fichiers malveillants
- Exécution côté serveur lorsque le contexte le permet
Analyse technique consolidée
Comment fonctionne cette vulnérabilité ?
Une exploitation peut être déclenchée au travers du réseau. La complexité d’exploitation est décrite comme faible. L’accès requis est évalué comme Éditeur ou rôle supérieur. Aucune interaction d’un autre utilisateur n’est requise.
Cette lecture décrit les conditions théoriques du vecteur CVSS publié. Elle ne permet pas, à elle seule, de confirmer l’exposition d’un site.
Impact potentiel
Un fichier non prévu peut être déposé sur le serveur. Le risque augmente lorsque son emplacement permet une exécution par PHP ou une consultation publique. Le vecteur CVSS signale un impact potentiel sur la confidentialité, l’intégrité et la disponibilité.
Exposition importante de données possible
Modification importante possible
Interruption importante possible
Conséquences à contrôler
- Dépôt de fichiers non prévus
- Persistance de fichiers malveillants
- Exécution côté serveur lorsque le contexte le permet
Vérification sur votre installation
Votre site est-il concerné ?
Cette fiche décrit les versions de Master Addons for Elementor – Elementor Addons, Widgets, Mega Menu Builder, Popup Builder, Widget Builder & Template Kits connues comme vulnérables, mais elle ne peut pas connaître les composants actifs sur votre site. L’audit de sécurité relève votre environnement WordPress et le compare à la base locale.
- Inventaire du cœur, des extensions et des thèmes
- Comparaison avec les plages de versions affectées
- Priorisation des mises à jour et contrôles nécessaires
Versions affectées
Les plages signalées comme vulnérables pour Master Addons for Elementor – Elementor Addons, Widgets, Mega Menu Builder, Popup Builder, Widget Builder & Template Kits sont :
*-3.1.9Plan de remédiation
1. Vérifier et contenir
- Identifier les sites sur lesquels Master Addons for Elementor – Elementor Addons, Widgets, Mega Menu Builder, Popup Builder, Widget Builder & Template Kits est installé et relever la version active.
- Effectuer une sauvegarde complète des fichiers et de la base avant toute correction.
- Traiter en priorité les sites exposés publiquement ou utilisant des comptes peu maîtrisés.
2. Corriger
- Mettre à jour vers une version corrigée mentionnée dans la fiche, puis purger les caches applicatifs et CDN.
- Contrôler les fichiers récemment créés ou modifiés ainsi que les journaux du serveur web et de PHP.
3. Valider et surveiller
- Vérifier l’affichage, les formulaires, les tâches planifiées et les fonctions métier après correction.
- Relancer un audit de sécurité afin de confirmer que la version vulnérable n’est plus détectée.
- Surveiller les journaux et les comptes pendant les jours suivant la correction.
3.2.0Installez la version 3.2.0 ou une version corrigée plus récente. Réalisez la mise à jour après sauvegarde, puis contrôlez le bon fonctionnement du site et l’absence de modification suspecte.
Comment appliquer la mise à jour
Effectuez une sauvegarde complète avant toute intervention, puis vérifiez les fonctions essentielles du site après la mise à jour.
Méthode accessible
Depuis l’administration WordPress
Ouvrez Tableau de bord, puis Extensions et Extensions installées. Repérez Master Addons for Elementor – Elementor Addons, Widgets, Mega Menu Builder, Popup Builder, Widget Builder & Template Kits, cliquez sur Mettre à jour maintenant et attendez la confirmation de WordPress. La version corrigée indiquée est 3.2.0 ou une version ultérieure.
Méthode technique
Avec WP-CLI
Exécutez ces commandes depuis la racine de l’installation WordPress concernée.
wp plugin get master-addons --field=versionwp plugin update master-addonsDétails techniques
- Type de faiblesse
- Téléversement de fichier non contrôlé et Exécution de code à distance
- Accès requis
- Éditeur ou rôle supérieur
- Vecteur CVSS
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H- CWE
- CWE-863, Incorrect Authorization
- Identifiant interne
11314a07-70f7-4a63-837f-4812905a55fe- Publication
- 31/08/2026
- Dernière modification
- 31/08/2026
Chronologie
- 31/08/2026Publication initiale dans les données disponibles
- CorrectifVersion corrigée indiquée 3.2.0
Découverte et références techniques
- Chercheur crédité
- Wordfence PRISM
Ces ressources complètent la fiche avec les avis, correctifs, historiques de code ou bases officielles associés à la vulnérabilité.
À consulter aussi
Autres vulnérabilités de Master Addons for Elementor – Elementor Addons, Widgets, Mega Menu Builder, Popup Builder, Widget Builder & Template Kits
Master Addons For Elementor <= 3.1.0 – Authenticated (Author+) Stored Cross-Site Scripting via 'jtlma_custom_js' Page Setting (Custom JS Extension)
The Master Addons For Elementor – Widgets, Extensions, Theme Builder, Popup Builder & Template Kits plugin for WordPress is vulnerable to Stored Cross-Site Scripting via 'jtlma_custom_js' Page Setting (Custom JS Extension) in all versions up to, and including,…
*-3.1.0
3.1.1
05/06/2026
Freemius <= 2.10.1 – Reflected DOM-Based Cross-Site Scripting via url Parameter
Multiple plugins and/or themes for WordPress are vulnerable to Reflected Cross-Site Scripting via the url parameter in various versions due to insufficient input sanitization and output escaping. This makes it possible for unauthenticated attackers to inject arbitrary web…
*-2.0.7.2
2.0.7.3
30/04/2026
Master Addons For Elementor – Widgets, Extensions, Theme Builder, Popup Builder & Template Kits <= 2.1.3 – Authenticated (Author+) Stored Cross-Site Scripting
The Master Addons For Elementor – Widgets, Extensions, Theme Builder, Popup Builder & Template Kits plugin for WordPress is vulnerable to Stored Cross-Site Scripting in versions up to, and including, 2.1.3 due to insufficient input sanitization and output…
*-2.1.3
2.1.4
16/03/2026
Master Addons For Elementor <= 2.1.1 – Authenticated (Contributor+) Stored Cross-Site Scripting via 'ma_el_bh_table_btn_text'
The Master Addons For Elementor plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the 'ma_el_bh_table_btn_text' parameter in versions up to, and including, 2.1.1 due to insufficient input sanitization and output escaping. This makes it possible for…
*-2.1.1
2.1.2
20/02/2026