Premium Addons for Elementor: Gespeichertes Cross-Site-Scripting (XSS)
Zusammenfassung
Premium Addons for Elementor, ein WordPress-Plugin mit zusätzlichen Widgets für den Elementor-Seitenersteller, enthält bis einschliesslich Version 4.11.116 eine Schwachstelle für gespeichertes Cross-Site-Scripting (CWE-79). Ein Angreifer mit einem Konto mit niedrigen Rechten, etwa einem Contributor, kann schädliches Skript speichern, das im Browser anderer Benutzer ausgeführt wird, beispielsweise wenn ein privilegierter Benutzer einen präparierten Link anklickt oder eine präparierte Seite öffnet. Eine erfolgreiche Ausnutzung kann Session-Diebstahl, Kontoübernahme oder Manipulation von Website-Inhalten ermöglichen.
Betroffen
- Premium Addons for Elementor (WordPress-Plugin) bis einschliesslich 4.11.116
- Erforderliche Berechtigung: niedrig (Contributor), Benutzerinteraktion nötig
Behoben in
- Version 4.11.117 (gemäss CVE-Eintrag und Patchstack; die Herstellermeldung konnte nicht geprüft werden)
Umgehung
- Unbekannt. Es wurde kein Workaround des Herstellers oder von Patchstack gefunden.
- Übergangsmassnahme: Prüfen, welche Konten Elementor-Inhalte erstellen oder bearbeiten können, und Konten mit niedrigen Rechten einschränken, bis das Update eingespielt ist.
Ausnutzung
- Gemäss OffSeq nicht als ausgenutzt bekannt; laut Strix nicht im KEV-Katalog.
- Kein öffentlicher Proof of Concept gefunden; dies beruht nur auf einer kurzen Recherche.
Unsere Empfehlung
- Premium Addons for Elementor im nächsten Wartungsfenster auf Version 4.11.117 oder neuer aktualisieren.
- Prüfen, ob die Website die aktuelle Plugin-Version verwendet.
- Kürzliche Elementor-Inhaltsänderungen durch Contributor-Benutzer und andere Benutzer mit niedrigen Rechten überprüfen.
- Plugin aktuell halten, da dieses Plugin im Jahr 2026 mehrere ähnliche gespeicherte XSS-Schwachstellen hatte.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Patchstack advisory CVE-2026-125762 patchstack.com
- CVE Record CVE-2026-125762 www.cve.org
- OffSeq radar entry CVE-2026-125762 radar.offseq.com
- Strix CVE entry CVE-2026-125762 www.strix.ai
- HOL Guard CVE-2026-103084 (similar earlier XSS) hol.org
- HOL Guard CVE-2026-108490 (similar earlier XSS) hol.org
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 14:25.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.