CVE-2026-91015: уязвимость в Master Addons for Elementor позволяет отключать попапы без авторизации

В WordPress-плагине Master Addons for Elementor, предназначенном для расширения возможностей конструктора страниц Elementor, выявлена уязвимость, связанная с нарушением контроля доступа. Она получила идентификатор CVE-2026-91015 и затрагивает версии плагина до 3.1.9.

Подробности

Уязвимость затрагивает функциональность Popup Builder — встроенного инструмента для создания всплывающих окон на сайте. AJAX-обработчик jltma_popup_disable_expired, отвечающий за деактивацию попапов, не выполняет проверку прав пользователя. Вместо этого он полагается исключительно на nonce-токен, который, как указано в описании CVE, публично выводится для каждого посетителя сайта. Поскольку nonce доступен любому гостю, злоумышленнику не требуется проходить аутентификацию: достаточно отправить соответствующим образом сформированный запрос к уязвимому AJAX-действию, чтобы навсегда отключить любой попап на сайте. Тип уязвимости — отсутствие авторизации (Missing Authorization, CWE-862). Значение CVSS в записи CVE не приведено. Практический эффект от эксплуатации — нарушение работы сайта: отключённые попапы перестают отображаться всем посетителям, что может использоваться для срыва маркетинговых кампаний, форм подписки, уведомлений и другого интерактивного функционала. Поскольку действие необратимо (попапы отключаются навсегда), восстановление требует ручного вмешательства администратора. Информация об активной эксплуатации в записи CVE отсутствует.

Что делать

Основная рекомендация — обновить плагин Master Addons for Elementor до версии 3.1.9 или выше. Именно в этой версии, согласно заголовку записи CVE, уязвимость устранена. Если обновление невозможно в ближайшее время, следует рассмотреть компенсирующие меры:

• ограничить доступ к административным AJAX-действиям на уровне WAF или веб-сервера, блокируя неаутентифицированные запросы к jltma_popup_disable_expired;
• провести аудит сайта на предмет уже отключённых попапов и при необходимости включить их заново вручную;
• усилить мониторинг журналов на предмет подозрительных запросов к admin-ajax.php с указанным действием.

Итог: CVE-2026-91015 — уязвимость отсутствия авторизации в популярном плагине для Elementor, позволяющая любому посетителю сайта без входа в систему необратимо отключить попапы. Единственное надёжное решение — обновление до версии 3.1.9. Владельцам сайтов на WordPress с установленным Master Addons for Elementor рекомендуется провести проверку версии плагина в ближайшее время.

Источник: CVE Project (cvelistV5)