Addon Elements for Elementor: Gespeichertes Cross-Site-Scripting

Zusammenfassung

Das WordPress-Plugin Addon Elements for Elementor (auch als Elementor Addon Elements geführt) ist von einer gespeicherten Cross-Site-Scripting-Schwachstelle (XSS) betroffen (CVE-2026-125743, CWE-79). Ein authentifizierter Benutzer mit niedrigen Rechten, etwa ein Mitwirkender, kann bösartige Skripte speichern, die im Browser anderer Besucher ausgeführt werden, wenn ein privilegierter Benutzer eine Aktion ausführt, zum Beispiel durch das Öffnen einer präparierten Seite. Eine erfolgreiche Ausnutzung könnte den Diebstahl von Besucherdaten oder die Übernahme von Konten ermöglichen. Der CVE-Eintrag nennt Versionen bis 1.5 als betroffen, doch dieser Bereich ist nicht verifiziert und widerspricht der aktuellen Versionshistorie des Plugins.

Betroffen

• Addon Elements for Elementor (Elementor Addon Elements) gemäss CVE-Eintrag und Patchstack: Versionen bis und mit 1.5 (Bereich nicht verifiziert, siehe Hinweise)
• Andere Einträge weisen darauf hin, dass das Plugin weit über 1.5 liegt, der betroffene Bereich ist daher möglicherweise ein Datenfehler des CNA.

Behoben in

• Patchstack und der CVE-Eintrag nennen 1.5.1 als korrigierte Version. Dies ist nicht gegen das Changelog des Herstellers verifiziert.
• Unbekannt: Es wurde kein Sicherheitshinweis oder Changelog-Eintrag des Herstellers zu dieser CVE gefunden.

Umgehung

• Unbekannt. Die Quellen dokumentieren keine patchunabhängige Massnahme.
• Falls keine korrigierte Version bestätigt werden kann, Plugin deaktivieren oder einschränken, welche Benutzer Elementor-Inhalte erstellen oder bearbeiten dürfen.

Ausnutzung

• Nicht bekannt, dass die Schwachstelle ausgenutzt wird; nicht im CISA-KEV-Katalog gelistet.
• Kein öffentlicher Proof of Concept gefunden; Status unbekannt.
• Der Angriff erfordert ein authentifiziertes Konto mit niedrigen Rechten (PR:L) und eine Benutzerinteraktion (UI:R).

Unsere Empfehlung

• Plugin-Version auf allen WordPress-Websites im Geltungsbereich erfassen und im Changelog von WordPress.org nach dieser CVE suchen.
• Auf die neueste verfügbare Version des Plugins aktualisieren.
• Falls keine korrigierte Version bestätigt werden kann, das Plugin entfernen, sofern es nicht zwingend benötigt wird.
• Nicht genutzte Konten mit Mitwirkenden- oder Autorenrechten prüfen und entfernen.
• NVD, Patchstack und CISA KEV auf Statusänderungen prüfen, da der NVD-Eintrag noch als Deferred geführt wird.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Patchstack advisory (linked by the CVE) patchstack.com
• OffSeq Radar: CVE-2026-125743 radar.offseq.com
• Strix: CVE-2026-125743 www.strix.ai
• WPVibes WordPress.org profile profiles.wordpress.org
• WPVibes website wpvibes.com
• WPBeacon plugin page wpbeacon.io
• Related CVE: CVE-2026-119465 vulners.com
• Related Patchstack advisory: 1.13.5 contributor stored XSS patchstack.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 14:24.