Dynific Addons for Elementor: Stored Cross-Site Scripting im Post-Author-Widget
Zusammenfassung
Das WordPress-Plugin Dynific Addons for Elementor vor Version 1.3.1 maskiert einen vom Benutzer gesteuerten Profilwert (den Anzeigenamen) nicht in einem in Anführungszeichen gesetzten Attribut seines Post-Author-Widgets für Elementor. Ein authentifizierter Benutzer mit der Rolle Author kann ein Skript speichern, das im Browser jeder Person ausgeführt wird, die einen Beitrag dieses Autors aufruft, einschliesslich Administratoren. Ein erfolgreicher Angriff könnte eine Administrator-Sitzung übernehmen und zur Kontrolle über die Website führen.
Betroffen
- Dynific Addons for Elementor (zuvor Anywhere Elementor), alle Versionen vor 1.3.1
- VulDB gibt den Bereich mit bis einschliesslich 1.3.0 an
Behoben in
- Version 1.3.1 (gemäss CVE-Eintrag und Drittquellen; kein Hersteller-Advisory gefunden)
Umgehung
- Dem Hersteller ist keine Workaround-Lösung bekannt.
- Falls das Patchen verzögert wird, Author-Rechte bei Benutzern entfernen, die sie nicht benötigen, und bestehende Author-Konten überprüfen.
- Beiträge von Authors prüfen, insbesondere solche mit ungewöhnlichen Autorennamen oder Markup in Profilfeldern.
- Administratoren sollten Beiträge von unbekannten Authors nicht angemeldet im Admin-Bereich aufrufen.
Ausnutzung
- Nicht bekanntermassen aktiv ausgenutzt.
- Nicht im CISA-KEV-Katalog aufgeführt.
- Öffentlicher Proof of Concept: Unbekannt.
- CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
Unsere Empfehlung
- Alle WordPress-Websites mit diesem Plugin inventarisieren.
- Auf Version 1.3.1 oder neuer aktualisieren und die installierte Version anschliessend überprüfen.
- Author-Konten prüfen und nicht benötigte entfernen.
- Prüfen, ob die verwandten CVEs CVE-2026-117522, CVE-2026-117523 und CVE-2026-117524 auf dieselben Websites zutreffen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- WPScan vulnerability record wpscan.com
- CVE Program record CVE-2026-117521 www.cve.org
- VulDB CVE-2026-117521 vuldb.com
- OpenCVE CVE-2026-117521 app.opencve.io
- OffSeq Radar CVE-2026-117521 radar.offseq.com
- VulDB CVE-2026-117523 (sibling) vuldb.com
- VulDB CVE-2026-117522 (sibling) vuldb.com
- VulDB CVE-2026-117524 (sibling) vuldb.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 13:34.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.