News Kit Elementor Addons: PHP Object Injection durch Subscriber-Benutzer
Zusammenfassung
Das WordPress-Plugin News Kit Elementor Addons bis und mit Version 1.5.0 enthält eine PHP Object Injection-Schwachstelle (CWE-502). Ein Angreifer mit einem Subscriber-Konto kann manipulierte serialisierte Daten übermitteln, die vom Plugin unsicher verarbeitet werden. Je nach weiteren installierten Komponenten kann dies zu Codeausführung, Datenzugriff oder Datenmanipulation auf dem Server führen. Zum Zeitpunkt der Recherche war kein offizieller Patch verfügbar, und die korrigierte Version ist unbekannt.
Betroffen
- WordPress-Plugin News Kit Elementor Addons, alle Versionen bis und mit 1.5.0
- Der Angreifer benötigt ein angemeldetes Konto auf Stufe Subscriber (PR:L)
Behoben in
Unbekannt. Es wurde noch keine korrigierte Version bestätigt. Prüfen Sie das aktuelle Changelog auf WordPress.org und das Patchstack-Advisory.
Umgehung
- Der Hersteller dokumentiert keine Workaround-Massnahme.
- Plugin deaktivieren und entfernen, falls es nicht benötigt wird.
- Offene Benutzerregistrierung einschränken und nicht benötigte Konten entfernen.
- Eine WAF oder ein virtueller Patch eines Anbieters wie Patchstack kann Angriffe blockieren, bis eine Korrektur verfügbar ist.
Ausnutzung
- Ausnutzung in freier Wildbahn: nicht bekannt.
- Öffentlicher Proof of Concept oder Exploit: keiner gefunden.
- EPSS: 0,39 % (Perzentil 33).
- CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
- Patchstack stuft die Schwachstelle als hohe Priorität ein und erwartet eine Ausnutzung.
Unsere Empfehlung
- Alle WordPress-Websites mit News Kit Elementor Addons inventarisieren und die installierte Version prüfen.
- Prüfen, ob die Selbstregistrierung aktiviert ist, und nicht benötigte Subscriber-Konten entfernen.
- Plugin dort deaktivieren oder entfernen, wo es nicht benötigt wird.
- Bis eine korrigierte Version bestätigt ist, eine WAF oder einen virtuellen Patch in Betracht ziehen und danach zügig aktualisieren.
- Patchstack und WordPress.org auf eine Korrektur und Anzeichen einer Ausnutzung überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Patchstack advisory patchstack.com
- CVE record summary (threatint) cve.threatint.com
- OffSeq exploitation status radar.offseq.com
- WordPress.org plugin page wordpress.org
- Wordfence plugin record www.wordfence.com
- Third-party alert (GitHub) github.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 09:11.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.