Master Addons for Elementor Premium <= 2.1.3 - Ejecución Remota de Código Autenticada (Subscriber+) vía render_preview

Un atacante que explote esta vulnerabilidad puede obtener control total sobre el servidor WordPress. Esto implica la capacidad de modificar archivos, instalar malware, robar datos sensibles (como información de usuarios, contraseñas y datos de clientes) e incluso utilizar el servidor como punto de partida para ataques a otros sistemas en la red. La falta de una verificación de capacidades adecuada en la función JLTMAWidgetAdmin::render_preview permite la ejecución de código sin la autorización necesaria. La severidad de esta vulnerabilidad es alta, similar a otras vulnerabilidades de RCE en plugins populares de WordPress, ya que el impacto potencial es significativo.

Websites using Master Addons for Elementor Premium, particularly those with a large number of users or handling sensitive data, are at significant risk. Shared hosting environments are especially vulnerable as they often have limited control over plugin updates and security configurations. WordPress sites with weak user access controls, allowing Subscriber-level users broad permissions, are also at increased risk.

• wordpress: Use wp-cli to check plugin versions:

wp plugin list --status=active | grep Master Addons

• wordpress: Search plugin files for the vulnerable function JLTMAWidgetAdmin::render_preview using grep:

grep -r 'JLTMA_Widget_Admin::render_preview' /path/to/master-addons-for-elementor-premium

• generic web: Monitor access logs for requests to URLs containing JLTMAWidgetAdmin::render_preview. • generic web: Check response headers for unusual content or code execution indicators.

1. 2026-03-02Disclosure

   disclosure

1. Reservado2026-02-24
2. Publicada2026-03-02
3. Modificada2026-04-08
4. EPSS actualizado2026-03-23

La mitigación principal para CVE-2026-3132 es actualizar el plugin Master Addons for Elementor Premium a la versión 2.1.4 o superior. Si la actualización causa problemas de compatibilidad con otros plugins o temas, considere realizar una copia de seguridad completa del sitio web antes de actualizar y probar la actualización en un entorno de pruebas. Como medida temporal, se puede implementar una regla en un firewall de aplicaciones web (WAF) para bloquear solicitudes a la función JLTMAWidgetAdmin::render_preview desde usuarios con privilegios de Suscriptor o inferiores. Monitorear los logs del servidor en busca de actividad sospechosa relacionada con la ejecución de código también es crucial.