Elementor Website Builder: Stored Cross-Site Scripting über Element-ID

Zusammenfassung

Das WordPress-Plugin Elementor Website Builder validiert oder escaped eine Element-ID nicht, bevor sie in ein clientseitiges Attribut gerendert wird, das als JavaScript ausgewertet wird. Ein Benutzer mit der Rolle Contributor kann Skripte speichern, die im Browser jedes Betrachters der Inhalte ausgeführt werden, einschliesslich eines Administrators, der die Inhalte vor der Veröffentlichung prüft. Für die Ausnutzung sind ein Konto mit Contributor-Berechtigung und eine Interaktion des Benutzers nötig; der CVSS-Vektor im Eintrag ist vorläufig.

Betroffen

• WordPress-Plugin Elementor Website Builder ab 0 vor 4.3.6 (gemäss CNA WPScan).
• VulDB beschreibt den Bereich als bis 4.3.5. Der genaue Bereich ist anhand des WPScan-Advisories zu bestätigen.

Behoben in

• Version 4.3.6.
• Kein dediziertes Sicherheitsadvisory des Herstellers gefunden. Die Changelog-Einträge sind allgemein gehalten.

Umgehung

• Kein Workaround des Herstellers oder des Forschers gefunden.
• Übergangsmassnahme: Konten mit Contributor-Berechtigung einschränken oder vorübergehend sperren, und Redakteure lassen Beiträge von Contributors vor der Veröffentlichung im Code-Editor auf unerwartete Skriptinhalte prüfen.

Ausnutzung

• Nicht in CISA KEV aufgeführt.
• Kein öffentlicher Proof of Concept gefunden. Die WPScan-Referenz ist als Exploit markiert, ihr Inhalt konnte aber nicht überprüft werden.
• CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
• In freier Wildbahn: unbekannt.

Unsere Empfehlung

• Elementor auf allen WordPress-Seiten auf 4.3.6 oder neuer aktualisieren.
• Konten mit Contributor-Berechtigung und höher prüfen und nicht benötigte entfernen.
• Bis zur Aktualisierung Contributor-Konten einschränken und Redakteure Beiträge vor der Veröffentlichung im Code-Editor prüfen lassen.
• Betroffenen Bereich und CVSS-Wert anhand des WPScan-Advisories und der NVD bestätigen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• CVE Record (CVE Program) www.cve.org
• WPScan vulnerability advisory wpscan.com
• VulDB entry CVE-2026-104718 vuldb.com
• Elementor 4.3.6 release on GitHub github.com
• Elementor changelog (raw) raw.githubusercontent.com
• OpenCVE entry CVE-2026-104718 app.opencve.io

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 13:36.