King Addons for Elementor: Fehlende Berechtigungsprüfung im WordPress-Plugin

Zusammenfassung

King Addons for Elementor ist ein WordPress-Plugin, das dem Seitenersteller Elementor zusätzliche Widgets und Vorlagen hinzufügt. Die Versionen bis einschliesslich 51.1.87 enthalten eine fehlende Berechtigungsprüfung (CWE-862), wodurch Benutzer auf Funktionen zugreifen können, die ihnen nicht zustehen sollten. Gemäss dem CVSS-3.1-Vektor des CNA ist der Angriff über das Netzwerk möglich und erfordert weder Anmeldung noch Benutzerinteraktion, die Auswirkung auf die Vertraulichkeit ist begrenzt. Die konkret betroffene Funktion ist öffentlich nicht dokumentiert.

Betroffen

• King Addons for Elementor bis einschliesslich 51.1.87
• Früheste betroffene Version: Unbekannt.

Behoben in

• Version 51.1.90 (gemäss Patchstack; noch nicht im Changelog des Herstellers bestätigt)

Umgehung

• Kein Workaround des Herstellers bekannt.
• Bis zur Aktualisierung den Zugriff auf die Funktionen des Plugins auf vertrauenswürdige WordPress-Konten beschränken.

Ausnutzung

• Gemäss einem Aggregator nicht als ausgenutzt bekannt.
• Kein öffentlicher Proof of Concept, kein Eintrag im CISA-KEV-Katalog und kein GitHub-Advisory gefunden.
• Frühere King-Addons-CVEs (z. B. CVE-2025-8489) wurden in freier Wildbahn ausgenutzt, dies betrifft jedoch eine andere CVE.

Unsere Empfehlung

• King Addons for Elementor auf Version 51.1.90 oder neuer aktualisieren, vorzugsweise im nächsten Wartungsfenster.
• Prüfen, ob das Plugin auf öffentlich erreichbaren WordPress-Websites installiert ist.
• Benutzerkonten auf unerwartete Administratoren prüfen sowie Seiten und Inhalte auf unautorisierte Änderungen kontrollieren.
• Die Fixversion im Changelog des Plugins auf WordPress.org oder king-addons.com verifizieren.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Patchstack advisory for CVE-2026-125444 patchstack.com
• CVE Record CVE-2026-125444 www.cve.org
• OffSeq Radar aggregator entry radar.offseq.com
• Strix CVE entry CVE-2026-125444 www.strix.ai
• 365i blog on King Addons vulnerability fix www.365i.co.uk

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 17:47.