Unlimited Elements For Elementor: Blind-SQL-Injection

Zusammenfassung

Das WordPress-Plugin Unlimited Elements For Elementor (Free Widgets, Addons, Templates) bis einschliesslich Version 2.0.20 enthält eine Blind-SQL-Injection-Schwachstelle (CWE-89). Ein Angreifer mit einem Konto mit niedrigen Berechtigungen auf der WordPress-Website könnte dadurch Daten in der Website-Datenbank lesen, verändern oder löschen, einschliesslich Benutzerkonten. Patchstack stuft das Problem als niedrige Priorität ein und hält eine Ausnutzung für unwahrscheinlich, der CVSS-Wert liegt jedoch bei 8.5 und die Auswirkungen auf die Datenbank sind hoch.

Betroffen

• Unlimited Elements For Elementor (Free Widgets, Addons, Templates), WordPress-Plugin, Versionen n/a bis einschliesslich 2.0.20
• Der Beginn des Versionsbereichs ist nicht angegeben, ältere Versionen sind vermutlich ebenfalls betroffen, dies ist jedoch nicht bestätigt.

Behoben in

• Version 2.0.21 (von Patchstack als korrigierte Version angegeben)
• Patchstack empfiehlt die Aktualisierung auf Version 2.0.21 oder neuer. Für andere Probleme dieses Plugins existieren neuere Versionen, daher die neueste Version von WordPress.org installieren. Die aktuelle Versionsnummer konnte nicht beim Hersteller verifiziert werden.

Umgehung

• Keine vom Hersteller dokumentierte Workaround-Massnahme. Patchstack empfiehlt die Aktualisierung. Ist dies nicht möglich, den Hostinganbieter oder den Webentwickler um Unterstützung bitten.

Ausnutzung

• Keine Hinweise auf eine Ausnutzung in freier Wildbahn für diese CVE gefunden.
• Kein öffentlicher Proof of Concept für diese CVE-ID gefunden.
• Patchstack stuft das Problem als niedrige Priorität ein und hält eine Ausnutzung für unwahrscheinlich. CISA SSVC gibt Exploitation als none und Automatable als no an.
• Das Plugin weist weitere SQL-Injection-Schwachstellen auf, einige davon sind auch für nicht authentifizierte Benutzer erreichbar.
• Benötigte Berechtigung: Der CVSS-3.1-Vektor gibt niedrige Berechtigungen an (PR:L), Patchstack nennt Developer. Die Quellen widersprechen sich, daher ist von einem beliebigen angemeldeten Konto als ausreichend auszugehen.

Unsere Empfehlung

• Das Plugin auf die neueste Version von WordPress.org aktualisieren und die installierte Version prüfen.
• Benutzerkonten prüfen und offene Registrierung deaktivieren, falls nicht benötigt.
• Die Datenbank auf Manipulationen prüfen, falls eine ältere Version exponiert war.
• Auf ungewöhnliche Datenbankfehler oder Änderungen achten.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Patchstack: SQL injection advisory for Unlimited Elements For Elementor patchstack.com
• Strix: CVE-2026-103338 (mirror of CNA data) www.strix.ai
• WPScan: Unlimited Elements For Elementor plugin wpscan.com
• WPScan: CVE-2026-92923 blind SQL injection wpscan.com
• VulDB: CVE-2026-103355 (possible duplicate) vuldb.com
• EUVD-2026-103338 (different vulnerability, do not confuse) vulners.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 11:37.