Elementor mit über 10 Millionen Installationen: Präparierte SVG-Grafiken schleusen Skripte ein

Markus Seyfferth

Autor Dr. Web

21. Okt. 2026

3 Min. Lesezeit

Über präparierte SVG-Grafiken konnten Nutzer mit Autoren- oder Mitarbeiterkonto in Elementor vor Version 4.3.5 Skriptcode in Seiten einschleusen. Der Code läuft im Browser der Besucher, auch im Browser eines Administrators. Version 4.3.5 vom 13. Oktober schließt beide Lücken, doch rund 60 Prozent der Installationen laufen laut wordpress.org noch auf älteren Versionszweigen.

drweb.de als bevorzugte Quelle auf Google hinzufügenQualitätsgeprüfte Inhalte direkt in Google News & DiscoverJetzt hinzufügen

Veröffentlicht hat die beiden Lücken CVE-2026-81812 und CVE-2026-81813 die Schwachstellen-Datenbank WPScan am 19. Oktober, gefunden haben sie die Sicherheitsforscher Nguyễn Đức Hòa und Mohammed Abd Alrahman.^[1]^[2] Der Seitenbaukasten hat laut wordpress.org mehr als 10 Millionen aktive Installationen (Stand 21. Oktober).^[3]

Das Wichtigste in Kürze

Elementor vor 4.3.5 ist betroffen, WPScan vergibt nach CVSS 3.1 die Werte 6,4 und 6,8 (mittel).
Der Angreifer braucht ein Konto mit der Rolle Mitarbeiter oder Autor, Gäste können die Lücken nicht nutzen.
Eine Lücke greift nur, wenn die Elementor-Option für ungefilterte Datei-Uploads eingeschaltet ist, die andere nur in Chrome, Edge und anderen Chromium-Browsern.
Angriffe sind bis zum 21. Oktober nicht bekannt, den Beispielcode will WPScan am 2. November zeigen.

Warum sind SVG-Grafiken ein Risiko?

Quadratischer Block mit Stern-Prägung, orangefarbenem Aufkleber „geprüft“ und Brille am Rand — SVG-Dateien sind XML-Text mit Skriptmöglichkeiten. WordPress blockiert sie standardmäßig. Elementor erlaubt SVG-Symbole nach Freigabe und bereinigt sie automatisch

Eine SVG-Datei ist kein Bild aus Pixeln, sondern XML-Text, der auch Skripte enthalten kann. WordPress lässt den Dateityp deshalb in der Mediathek standardmäßig nicht zu.^[4] Elementor erlaubt eigene SVG-Symbole nach einer Freigabe in den Einstellungen, bereinigt jede Datei laut Hilfeseite selbst und setzt sie als Code direkt in die Seite.^[5] Die Sicherheit hängt damit am Filter des Plugins.

Genau dieser Filter hatte zwei Lücken. Bei CVE-2026-81812 lief nicht jeder Upload-Weg durch die Bereinigung, ein Autorenkonto konnte so eine Datei mit Skript hochladen. Voraussetzung ist die Option für ungefilterte Datei-Uploads, die ab Werk ausgeschaltet ist.^[1] Bei CVE-2026-81813 prüfte der Filter nur Elemente und Attribute, nicht aber den Textinhalt der Datei. Ein Mitarbeiterkonto genügt hier, der Code startet in Chromium-Browsern, sobald die Grafik eingebettet erscheint. Firefox ist laut WPScan nicht betroffen.^[2]

Wie gefährlich ist eine Lücke mit Mitarbeiterkonto?

Mitarbeiter dürfen in WordPress Beiträge schreiben, aber nicht veröffentlichen. Viele Redaktionen und Firmenblogs geben diese Rolle Gastautoren. Eingeschleuster Skriptcode läuft im Browser mit den Rechten des Betrachters.^[6] Öffnet ein Administrator die Vorschau des Entwurfs in Chrome, läuft der Code in dessen angemeldeter Sitzung.

Fehler in SVG-Filtern häufen sich. In derselben Woche meldete die NVD vergleichbare Fehler im Advanced File Manager mit über 100.000 Installationen und im Blaze Demo Importer.^[7]^[8] Für Elementor bis 4.3.1 meldete Patchstack Ende September eine Lücke, über die fremde Seiten Aktionen im Namen angemeldeter Nutzer auslösen konnten (CVSS 3.1: 8,8, vergeben von Patchstack).^[9] In Erweiterungen für den Baukasten wie MetForm und Unlimited Elements steckten zuletzt Lücken, für die Angreifer gar kein Konto brauchten.

Elementor-Lücken im Steckbrief

Reichweite, Schweregrad und zeitlicher Ablauf, Stand 21. Oktober 2026

10 Mio.+

aktive Installationen laut wordpress.org

6,8

Punkte nach CVSS 3.1 vergibt WPScan für die Lücke ab Mitarbeiterkonto

60 %

der Installationen laufen auf Versionszweigen vor 4.3

4.3.5

ist die erste Version, die beide Lücken schließt

Vom Patch bis zum Beispielcode

25. September

Vorgeschichte

Patchstack meldet eine andere Lücke in Elementor bis 4.3.1

13. Oktober

Patch

Elementor 4.3.5 bessert die Prüfung von SVG-Dateien nach

19. Oktober

Offenlegung

WPScan veröffentlicht beide Einträge ohne technische Details

21. Oktober

CVE-Eintrag

Die NVD nimmt beide Lücken auf, eine eigene Bewertung fehlt noch

2. November

Beispielcode

WPScan will Beispielcode für einen Angriff veröffentlichen

Ein SVG-Filter, der nur die Hülle prüft, macht jedes Gastautorenkonto zum Werkzeug gegen den Administrator.
Michael Dobler, Herausgeber Dr. Web

Was sollten Betreiber jetzt tun?

Aktualisieren: Bringen Sie Elementor auf Version 4.3.5 oder neuer. Das Änderungsprotokoll nennt für diese Version eine strengere Prüfung von SVG-Dateien.^[10]
Konten prüfen: Gehen Sie die Nutzer mit den Rollen Mitarbeiter und Autor durch und entfernen Sie verwaiste Gastzugänge. Die WordPress-Rollen lassen sich enger zuschneiden.
Uploads abschalten: Schalten Sie die Option für ungefilterte Datei-Uploads in den Elementor-Einstellungen ab, wenn Sie keine eigenen SVG-Symbole brauchen.
Mediathek sichten: Prüfen Sie SVG-Dateien, die Mitarbeiter- und Autorenkonten hochgeladen haben.

Die Lücken stehen auf der Stufe „Patch verfügbar“, Angriffscode ist noch nicht öffentlich. Agenturen mit vielen Kundenseiten sollten die Updates bis zum 2. November eingespielt haben. Alternativen zum Baukasten zeigt der Page-Builder-Vergleich. Grundregeln bündelt der Ratgeber zur WordPress-Sicherheit, Managed-Hoster aus dem WordPress-Hosting-Vergleich spielen Plugin-Updates teils automatisch ein.

FAQ: Elementor mit über 10 Millionen Installationen: Präparierte SVG-Grafiken schleusen Skripte ein

Welche Elementor-Version ist sicher?

Sicher ist Elementor 4.3.5 vom 13. Oktober 2026 oder neuer. Alle älteren Versionen sind von CVE-2026-81812 und CVE-2026-81813 betroffen. Die installierte Version zeigt die Plugin-Übersicht im WordPress-Dashboard.

Warum sind SVG-Dateien in WordPress gefährlich?

SVG-Dateien bestehen aus XML-Text und können Skripte enthalten. WordPress lässt sie deshalb standardmäßig nicht hochladen. Plugins wie Elementor erlauben sie nach einer Freigabe und müssen jede Datei selbst bereinigen, bevor sie in eine Seite eingebettet wird.

Was ist persistentes Cross-Site-Scripting?

Beim persistenten Cross-Site-Scripting legt ein Angreifer Skriptcode dauerhaft auf der Website ab, hier in einer SVG-Grafik. Der Code startet bei jedem Aufruf im Browser des Besuchers und läuft mit dessen Rechten, bei einem Administrator also mit vollen Rechten.

Wird die Elementor-Lücke schon ausgenutzt?

Bis zum 21. Oktober 2026 wurden keine Angriffe bekannt. Die US-Behörde CISA führt beide Lücken nicht in ihrem Katalog aktiv ausgenutzter Schwachstellen. WPScan will den Beispielcode am 2. November veröffentlichen, das Update sollte vorher eingespielt sein.