Unlimited Elements For Elementor: PHP Object Injection durch unsichere Daten
Zusammenfassung
Das WordPress-Plugin Unlimited Elements For Elementor (Free Widgets, Addons, Templates) bis einschliesslich Version 2.0.19 deserialisiert unsichere Daten, was PHP Object Injection ermöglicht. Ein Angreifer, der präparierte Eingaben an eine verwundbare Website senden kann, könnte die Verarbeitung von Daten auf dem Server manipulieren und schädliche Aktionen ausführen. Patchstack und CISA stufen die Lücke als hoch ein (CVSS 8.8), CISA meldet zum Zeitpunkt der Veröffentlichung jedoch keine bekannte Ausnutzung. Der Angreifer benötigt ein Konto mit niedrigen Berechtigungen, daher hängt die Gefährdung davon ab, ob die Registrierung offen ist oder Konten kompromittiert werden können.
Betroffen
- WordPress-Plugin Unlimited Elements For Elementor (Free Widgets, Addons, Templates), Versionen bis einschliesslich 2.0.19
- CVSS 3.1: 8.8 (AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H), CWE-502
Behoben in
- Version 2.0.20 (Patchstack nennt 2.0.20 als gepatchte Version; der Bezug zu dieser CVE ist im Changelog nicht explizit bestätigt)
- Es existieren neuere Versionen; die Installation der neuesten Version wird empfohlen
Umgehung
- Unbekannt. Für diese CVE wurde kein Workaround des Herstellers oder von Patchstack identifiziert.
- Übergangsmassnahmen, falls ein Update nicht sofort möglich ist: Benutzerregistrierung einschränken oder deaktivieren, Konten mit Rolle Subscriber und Contributor prüfen und auf verdächtige Konten achten.
Ausnutzung
- CISA SSVC zum Zeitpunkt der Veröffentlichung: Exploitation none, Automatable no, Technical Impact total.
- Patchstack beschreibt die Lücke als voraussichtlich ausgenutzt und in Mass-Exploit-Kampagnen verwendet.
- Kein öffentlicher Proof of Concept gefunden. Die Auswirkung einer Remote Code Execution ist nicht verifiziert.
Unsere Empfehlung
- Prüfen, ob das Plugin auf WordPress-Websites installiert ist, und die Version ermitteln.
- Auf die neueste Version, mindestens 2.0.20, aktualisieren; dies ist mit hoher Priorität durchzuführen.
- Falls ein Update nicht sofort möglich ist, Benutzerregistrierung einschränken und Konten mit niedrigen Berechtigungen prüfen.
- Die Website auf verdächtige Aktivitäten überwachen und auf eine Kompromittierung prüfen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Patchstack advisory patchstack.com
- OpenCVE record app.opencve.io
- VulDB entry vuldb.com
- WordPress.org plugin listing wordpress.org
- WordPress.org changelog en-ca.wordpress.org
- Vendor changelog unlimited-elements.com
- WPScan plugin listing wpscan.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 21:16.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.