close notice

This article is also available in
English.

It was translated with technical assistance and editorially reviewed before publication.

Don’t show this again.

Das WordPress-Plug-in Elementor Pro kommt auf mehr als sechs Millionen aktive Installationen, es ist also weit verbreitet. Daher wiegt eine nun entdeckte Schwachstelle umso schwerer, da sie nicht angemeldeten Angreifern aus dem Netz das Hochladen beliebiger Dateien erlaubt; am Ende einer Angriffskette steht dabei die vollständige Übernahme einer verwundbaren WordPress-Instanz.

Weiterlesen nach der Anzeige

Davor warnt das IT-Sicherheitsunternehmen Wordfence aktuell. Konkret erlaubt die Sicherheitslücke bösartigen Akteuren aus dem Netz ohne vorherige Authentifizierung, beliebige Dateien einschließlich ausführbarer PHP-Dateien auf anfällige Instanzen hochzuladen. Voraussetzung für einen Missbrauch der Lücke ist, dass eine Seite mit einem Elementor-Pro-Formular-Widget mit mindestens einem Datei-Hochladen-Feld veröffentlicht wurde, dieses muss nicht als „notwendig“ markiert sein. Auslöser ist demnach ein Logikfehler bei der Überprüfungsfunktion von Uploads (CVE-2026-32475, CVSS 9.8, Risiko „kritisch“).

Elementor Pro: Update verfügbar

Wordfence hat die Schwachstelle im Rahmen des Bug-Bounty-Programms des Unternehmens gemeldet bekommen. Der Melder erhält dafür 15.600 US-Dollar Belohnung – das ist ein ungewöhnlich hoher Betrag und deutet auf den Schweregrad in der Praxis für WordPress-Betreiber hin. Die IT-Sicherheitsforscher haben das Elementor-Team Ende Juli über das Sicherheitsleck informiert. Seit Mittwoch, 19. August, steht nun die fehlerbereinigte Softwareversion 4.2.2 bereit. Admins sollten prüfen, ob ihre Instanzen bereits den aktuellen Stand aufweisen und die Aktualisierung gegebenenfalls zügig nachholen.

Erst Anfang der Woche wurden Schwachstellen in den populären WordPress-Plug-ins Forminator Forms und Royal Elementor Addons bekannt. Auch dort ließ sich durch Hochladen ausführbarer Dateien ohne vorherige Authentifizierung Schadcode einschleusen und damit ganze Instanzen kompromittieren. Die Plug-ins kommen auf jeweils mehr als 600.000 aktive Installationen.

(dmk)

Dieser Link ist leider nicht mehr gültig.

Links zu verschenkten Artikeln werden ungültig,
wenn diese älter als 7 Tage sind oder zu oft aufgerufen wurden.

Sie benötigen ein heise+ Paket, um diesen Artikel zu lesen. Jetzt eine Woche unverbindlich testen – ohne Verpflichtung!