Xpro Elementor Addons: Cross-Site Request Forgery im WordPress-Plugin
Zusammenfassung
Das WordPress-Plugin Xpro Elementor Addons bis und mit Version 1.7.10 enthält eine Cross-Site Request Forgery (CSRF) Schwachstelle. Ein Angreifer kann eine präparierte Seite erstellen, die im Browser eines angemeldeten Benutzers Aktionen auf der Website auslöst, die dieser nicht beabsichtigt hat, etwa das Ändern von Passwörtern oder Einstellungen. Voraussetzung ist, dass ein privilegierter Benutzer dazu gebracht wird, einen bösartigen Link oder eine bösartige Seite aufzurufen; die Quellen beschreiben keinen direkten Angriff auf anonyme Besucher.
Betroffen
- WordPress-Plugin Xpro Elementor Addons (Slug xpro-elementor-addons), Versionen bis und mit 1.7.10
- CVSS 8.8 (v3.1), vergeben von Patchstack; NVD-Status ist Deferred
Behoben in
- Auf Version 1.7.11 oder neuer aktualisieren (gemäss Patchstack; vom Hersteller nicht unabhängig bestätigt)
Umgehung
- Keine herstellerspezifische Massnahme bekannt.
- Bis zur Behebung nicht auf anderen Websites surfen, während man im WordPress-Backend angemeldet ist.
Ausnutzung
- In den gefundenen Quellen nicht als aktiv ausgenutzt gekennzeichnet.
- VulDB meldet keinen öffentlich verfügbaren Exploit.
- Patchstack stuft die Priorität als niedrig ein und hält eine Ausnutzung für unwahrscheinlich.
- CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
- Die verwundbare Funktion und die genau erforderliche Berechtigungsstufe sind unbekannt.
Unsere Empfehlung
- Das Plugin Xpro Elementor Addons auf Version 1.7.11 oder neuer aktualisieren und anschliessend die installierte Version überprüfen.
- Prüfen, welche Websites das Plugin einsetzen, und Websites mit mehreren Backend-Benutzern (Redaktion, Shop-Personal) priorisieren.
- Falls das Update nicht durchgeführt werden kann, den Hosting-Anbieter oder Webentwickler um Unterstützung bitten.
- Das Backend auf unerwartete Änderungen an Passwörtern oder Einstellungen überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Patchstack advisory patchstack.com
- VulDB CVE record vuldb.com
- VulDB exploit status vuldb.com
- WordPress.org plugin page wordpress.org
- Vulners CVE record vulners.com
- Vulners CVElist record vulners.com
- WPScan plugin page wpscan.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 11:02.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.