Element Pack Elementor Addons: Gespeichertes Cross-Site-Scripting
Zusammenfassung
Die kostenlose Lite-Version des WordPress-Plugins Element Pack Elementor Addons enthält eine gespeicherte Cross-Site-Scripting-Schwachstelle (XSS, CWE-79). Ein angemeldeter Benutzer mit einem niedrig privilegierten Konto, etwa Contributor, kann schädliche Skripte speichern, die im Browser anderer Benutzer, zum Beispiel von Administratoren, ausgeführt werden, sobald sie die Inhalte aufrufen. Eine erfolgreiche Ausnutzung erfordert eine Benutzeraktion; der Angreifer kann danach Sitzungsdaten stehlen oder Konten übernehmen.
Betroffen
- Element Pack Elementor Addons (bdthemes-element-pack-lite) bis und mit 10.0.3
- Pro-Version: Unbekannt.
Behoben in
- Version 10.0.4 (gemäss CVE-Eintrag und Aggregatordaten; noch nicht im Changelog des Herstellers bestätigt).
Umgehung
- Unbekannt. Keine vom Hersteller dokumentierte Massnahme gefunden.
- Konten mit Contributor- und höheren Rechten bis zur Aktualisierung auf vertrauenswürdige Benutzer beschränken.
Ausnutzung
- Gemäss OffSeq und Strix (KEV: No) nicht bekannt, dass die Schwachstelle aktiv ausgenutzt wird.
- Kein öffentlicher Proof-of-Concept gefunden; die Suche war nur eingeschränkt möglich.
Unsere Empfehlung
- Installierte Version prüfen und so rasch wie möglich auf 10.0.4 oder höher aktualisieren.
- Gleichzeitig die Korrektur der verwandten Schwachstelle CVE-2026-119501 (10.0.3 oder höher) einspielen.
- Konten mit Contributor- und höheren Rechten prüfen und nicht benötigte entfernen.
- Kürzlich eingereichte Inhalte von Autoren mit niedrigen Rechten prüfen, insbesondere Inhalte, die Administratoren anzeigen.
- Prüfen, ob die Pro-Version installiert ist, und ob BdThemes dafür Hinweise veröffentlicht hat.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Patchstack advisory patchstack.com
- VulDB entry vuldb.com
- OffSeq Radar entry radar.offseq.com
- Strix CVE entry www.strix.ai
- WordPress.org plugin page wordpress.org
- Related CVE-2026-119501 (Vulners) vulners.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 13:41.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.