Unlimited Elements For Elementor: Blind-SQL-Injection
Zusammenfassung
Das WordPress-Plugin Unlimited Elements For Elementor bis und mit Version 2.0.20 enthält eine Blind-SQL-Injection-Schwachstelle. Ein Angreifer kann damit Daten in der Datenbank der Website lesen, verändern oder löschen, einschliesslich Benutzerkonten und privater Daten. Die Quellen widersprechen sich bezüglich der erforderlichen Berechtigung: Der CNA-Vektor geht von keiner Anmeldung aus, während Patchstack die Rolle Developer angibt.
Betroffen
- Unlimited Elements For Elementor (Free Widgets, Addons, Templates), WordPress-Plugin, Versionen von n/a bis und mit 2.0.20
- Nicht aufgeführte Versionen sind gemäss den CNA-Daten nicht betroffen
Behoben in
- Version 2.0.21 gemäss Patchstack und VulDB
- Bestätigung durch den Hersteller noch nicht gefunden; Changelog auf WordPress.org prüfen
Umgehung
- Keine Workaround-Massnahme des Herstellers gefunden.
- Plugin deaktivieren, bis es aktualisiert ist (eigener Vorschlag, nicht aus einer Quelle).
- Patchstack gibt an, dass eine Schutzregel Angriffe blockiert, bis das Plugin aktualisiert ist.
Ausnutzung
- Keine Hinweise auf eine Ausnutzung in freier Wildbahn gefunden.
- Nicht im Katalog CISA KEV aufgeführt; CISA SSVC: Ausnutzung keine, automatisierbar ja.
- VulDB-Status: nicht definiert.
- Patchstack stuft die Schwachstelle als hohe Priorität ein und erwartet eine Ausnutzung.
- Kein öffentlicher Proof of Concept gefunden.
Unsere Empfehlung
- Websites mit diesem Plugin inventarisieren und deren Versionen erfassen.
- Auf Version 2.0.21 oder neuer aktualisieren; ist dies nicht möglich, das Plugin deaktivieren.
- War eine verwundbare Version aus dem Internet erreichbar, Datenbankbenutzer, Administratorkonten und Logs prüfen.
- NVD und Hersteller auf Bestätigung der korrigierten Version und der erforderlichen Berechtigung überwachen.
Öffentliche Exploits
Links zu fremden Seiten, von uns nicht geprüft – Exploit-Code kann Schadsoftware enthalten. Nur in isolierten Testumgebungen verwenden.
- Proof of Concept auf GitHub (1 Repositories)
Hassham1/CVE-2026-103355-unlimited-elements-sqli-poc
Quellen der Recherche
- Patchstack advisory patchstack.com
- VulDB CVE entry vuldb.com
- VulDB vulnerability 413414 vuldb.com
- Strix CVE entry www.strix.ai
- WordPress.org plugin page wordpress.org
- WPScan sibling vulnerability CVE-2026-85568 wpscan.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 03:32.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.