PowerPack Addons for Elementor: Offenlegung sensibler Daten im WordPress-Plugin
Zusammenfassung
Das WordPress-Plugin PowerPack Addons for Elementor bis und mit Version 3.1.3 fügt in gesendete Daten sensible Informationen ein, wodurch eingebettete sensible Daten abgerufen werden können. Der CVSS-3.1-Basiswert beträgt 5.3 (mittel) mit einem Vektor aus Netzwerkzugriff, keinen Berechtigungen und keiner Benutzerinteraktion sowie einer nur geringen Auswirkung auf die Vertraulichkeit. Welche Art von Daten offengelegt wird, ist in den Quellen nicht angegeben. Jeder nicht authentifizierte Besucher einer öffentlich erreichbaren WordPress-Website mit dem betroffenen Plugin könnte diese Daten potenziell abrufen.
Betroffen
- PowerPack Addons for Elementor (WordPress-Plugin, Slug powerpack-lite-for-elementor) von n/a bis und mit 3.1.3
Behoben in
- Version 3.1.4 oder neuer (gemäss CNA Patchstack; Herstellerhinweis nicht gefunden)
Umgehung
- Unbekannt. In den Quellen ist kein Workaround dokumentiert. Das Aktualisieren ist die genannte Massnahme.
Ausnutzung
- Gemäss OffSeq nicht als ausgenutzt bekannt. CISA SSVC: Exploitation none, Automatable yes, Technical Impact partial.
- Zum Zeitpunkt der Recherche wurde kein öffentlicher Proof of Concept und kein Eintrag im CISA-KEV-Katalog gefunden.
Unsere Empfehlung
- Die installierte Version von PowerPack Addons for Elementor auf allen WordPress-Websites prüfen und auf 3.1.4 oder neuer aktualisieren.
- Ermitteln, welche Daten auf den Websites liegen, deren Offenlegung relevant wäre, zum Beispiel Formulareingaben, Kundendaten oder nur für Administratoren bestimmte Inhalte.
- Das Patchstack-Advisory auf Angaben zum betroffenen Datentyp und auf einen Proof of Concept überwachen.
- Den Patch-Rhythmus des Plugins im Auge behalten, da mehrere weitere Schwachstellen aus 2026 in Version 3.1.3 behoben wurden.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- CVE Record CVE-2026-125435 www.cve.org
- Patchstack advisory patchstack.com
- OffSeq threat radar entry radar.offseq.com
- WPScan plugin page wpscan.com
- WPSec plugin vulnerabilities wpsec.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 17:43.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.