Dynific Addons for Elementor: Gespeichertes XSS über Beitragstitel in Author-Rolle
Zusammenfassung
Das WordPress-Plugin Dynific Addons for Elementor (früher Anywhere Elementor) vor Version 1.3.1 maskiert den Beitragstitel in einem seiner Elementor-Widgets nicht; laut Advisory betrifft dies das Post Image Widget. Ein authentifizierter Benutzer mit der Author-Rolle kann einen Beitrag veröffentlichen, dessen Titel beim Betrachten Skript ausführt. Betrachtet ein Administrator den Beitrag, läuft das Skript in dessen Sitzung, wodurch eine vollständige Kompromittierung der Website möglich ist. Der Angreifer benötigt ein Author-Konto, und ein Opfer muss den Beitrag aufrufen.
Betroffen
- Dynific Addons for Elementor (früher Anywhere Elementor) Versionen vor 1.3.1
- Betroffener Bereich gemäss CNA-Eintrag: 0 bis vor 1.3.1
Behoben in
- Version 1.3.1
Umgehung
- Kein Workaround des Herstellers bekannt.
- Bis zum Update: Prüfen, welche Konten die Author-Rolle besitzen, und nicht benötigte Konten entfernen.
- Kürzlich veröffentlichte Beiträge von Authors prüfen, insbesondere Titel mit HTML- oder Skriptcode.
- Einschränken, wer Beiträge veröffentlichen darf.
Ausnutzung
- Keine bekannte Ausnutzung.
- Nicht im Katalog der bekannten ausgenutzten Schwachstellen der CISA aufgeführt.
- In den geprüften Verzeichnissen (Metasploit, Exploit-DB) kein öffentlicher Exploit-Code gefunden.
Unsere Empfehlung
- Dynific Addons for Elementor im regulären Update-Zyklus auf Version 1.3.1 aktualisieren.
- Das Update als dringend behandeln, wenn Author-Konten von externen oder nicht vertrauenswürdigen Personen genutzt werden oder die Selbstregistrierung offen ist.
- Prüfen, auf welchen WordPress-Websites das Plugin eingesetzt wird und welche Konten die Author-Rolle besitzen.
- Bestehende Beiträge auf verdächtige Titel prüfen und auf unerwartete Skriptaktivitäten im Administrationsbereich achten.
- Der CVSS-Wert 6.8 ist nicht bestätigt; die Bewertung durch die NVD war zum Zeitpunkt der Recherche ausstehend.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- WPScan advisory CVE-2026-117522 wpscan.com
- CVE Record CVE-2026-117522 www.cve.org
- VulDB CVE-2026-117522 vuldb.com
- OffSeq Radar CVE-2026-117522 radar.offseq.com
- OpenCVE CVE-2026-117522 app.opencve.io
- Strix CVE-2026-117522 www.strix.ai
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 13:35.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.