Element Pack Elementor Addons: Gespeicherte Cross-Site-Scripting-Schwachstelle

Zusammenfassung

Das WordPress-Plugin Element Pack Elementor Addons (bdthemes-element-pack-lite) bis Version 10.0.4 enthält eine gespeicherte Cross-Site-Scripting-Schwachstelle (XSS). Ein authentifizierter Benutzer mit niedrigen Rechten, etwa ein Mitwirkender, kann bösartigen Skriptcode speichern, der im Browser eines anderen Benutzers ausgeführt wird, der die Seite aufruft. Für die erfolgreiche Ausnutzung muss ein privilegierter Benutzer, etwa ein Administrator oder Redaktor, mit dem präparierten Inhalt interagieren, und da der Scope verändert ist, kann sich die Auswirkung auf die Sitzung des Administrators ausweiten.

Betroffen

• Element Pack Elementor Addons (bdthemes-element-pack-lite), WordPress-Plugin, Versionen von n/a bis 10.0.4
• Voraussetzung: Konto mit Mitwirkenden-Rechten oder höher (PR:L), Benutzerinteraktion erforderlich (UI:R)

Behoben in

• Herstellerfix für diese CVE: Unbekannt. Der CVE-Eintrag und Patchstack nennen 10.0.5 als gepatchte Version; das Changelog des Herstellers zu 10.0.4 erwähnt eine separate Behebung einer gespeicherten XSS-Schwachstelle, es ist nicht bestätigt, ob diese CVE-2026-125708 abdeckt.
• Auf mindestens 10.0.5 aktualisieren, wie von Patchstack empfohlen.

Umgehung

• Solange keine korrigierte Version bestätigt ist, alle Installationen als potenziell verwundbar behandeln.
• Konten mit Mitwirkenden- und Redaktor-Rechten auf vertrauenswürdige Mitarbeitende beschränken.
• Kürzlich bearbeitete Elementor-Seiten und Widget-Einstellungen, einschliesslich benutzerdefinierter Attribute, auf eingeschleuste Skripte prüfen.
• Eine Web Application Firewall oder einen virtuellen Patch in Betracht ziehen, falls der Herstellerfix unklar ist.

Ausnutzung

• Bekannte Ausnutzung in freier Wildbahn: Nichts gefunden.
• Öffentlicher Proof of Concept: Nichts gefunden für diese CVE.
• CISA KEV: Nicht gelistet.
• Ein älteres, separates Problem in diesem Plugin (CVE-2024-10980) hat einen öffentlichen Proof of Concept, was zeigt, welche Auswirkungen solche Schwachstellen haben können.

Unsere Empfehlung

• Plugin auf Version 10.0.5 oder neuer aktualisieren und im Patchstack-Eintrag die aktuell korrigierte Version prüfen.
• Konten mit Mitwirkenden- und Redaktor-Rechten einschränken und unkontrollierte Benutzerregistrierung deaktivieren.
• Kürzlich bearbeitete Inhalte und Widget-Einstellungen auf eingeschleuste Skripte prüfen.
• Auf neue Advisories zu diesem Plugin achten, da 2026 mehrere gespeicherte XSS-Schwachstellen veröffentlicht wurden.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Patchstack advisory patchstack.com
• WordPress.org plugin page (changelog) en-gb.wordpress.org
• Strix CVE mirror www.strix.ai
• Sibling CVE-2026-124752 (Strix) www.strix.ai
• Sibling CVE-2026-124752 (OffSeq) radar.offseq.com
• CVE-2024-10980 (CleanTalk research) research.cleantalk.org

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 14:24.