Fremde brauchten kein Konto, um über das Plugin Essential Addons for Elementor private Zusatzfelder von Beiträgen auszulesen. WPScan machte die Sicherheitslücke am 26. Oktober öffentlich, Version 6.8.7 vom 19. Oktober schließt sie. Betreiber lesen im Änderungsprotokoll allerdings nur von kleineren Fehlerkorrekturen.
Ein Klick · kostenlosDr. Web bei Google bevorzugenMarkieren Sie drweb.de als bevorzugte Quelle. Dann sehen Sie unsere Artikel öfter unter den Top-Meldungen.Jetzt hinzufügenStellen Sie sich eine Beitragsliste vor, die per Klick auf „Mehr laden“ weitere Artikel holt. Bei Essential Addons, einer Sammlung von Zusatz-Widgets für den Seitenbaukasten Elementor mit über 1 Million aktiven Installationen, übernahm genau diese Funktion die Suchkriterien ungeprüft aus dem Browser. Die Lücke trägt die Kennung CVE-2026-110509, gemeldet hat sie der Sicherheitsforscher Karthik Ramakrishnan.[1]
Das Wichtigste in Kürze
- Essential Addons for Elementor bis 6.8.6 gibt ohne Anmeldung private Zusatzfelder preis (CVSS 3.1: 5,3, vergeben von WPScan).
- Version 6.8.7 vom 19. Oktober behebt den Fehler, im Änderungsprotokoll steht davon kein Wort.
- Mindestens 19,6 Prozent der Installationen liefen am 28. Oktober laut wordpress.org noch mit Versionen vor 6.8.
- WPScan will am 9. November Beispielcode für einen Angriff veröffentlichen, Angriffe sind bisher nicht bekannt.
Was konnten Fremde über die Nachladefunktion abrufen?
Bis Version 6.8.6 bestimmten Suchkriterien aus dem Browser, welche Inhalte das Plugin nachlud. Dafür bettet das Widget die Abfrage in den Quelltext der Seite ein und schickt sie beim Klick zurück an den Server. Der Server führte die Abfrage aus, ohne zu prüfen, ob ein Besucher sie verändert hatte. Laut WPScan ließen sich so nicht öffentliche Inhalte und private Zusatzfelder auslesen.[1]
In solchen Zusatzfeldern, in WordPress Custom Fields genannt, speichern Themes und Plugins Daten, die nicht auf der Seite erscheinen sollen. Was dort liegt, hängt von der einzelnen Website ab, bei Formular-, Shop- oder Mitglieder-Plugins können das auch personenbezogene Angaben sein. Den Mechanismus beschreibt ein Kommentar der Entwickler im neuen Quellcode: Eine Abfrage nach Zusatzfeldern verrät deren Werte Schritt für Schritt, weil die Antwort zeigt, ob ein Beitrag die Bedingung erfüllt.[2]
Wie schließt Version 6.8.7 die Lücke?
Seit Version 6.8.7 versieht der Server die Abfrage mit einer digitalen Signatur. Kommt sie ohne gültige Signatur zurück, beschränkt das Plugin sie auf öffentlich sichtbare Beitragstypen, streicht alle Bedingungen zu Zusatzfeldern und begrenzt die Antwort auf 50 Beiträge. Ein Vergleich des Quellcodes beider Versionen zeigt zwei weitere Korrekturen ohne eigene CVE-Kennung: Zwei Suchfunktionen für den Editor verlangen nun Bearbeitungsrechte. Nutzernamen gibt eine davon nur noch an Konten aus, die Nutzer auflisten dürfen.[2]
Erweiterungen für Seitenbaukästen fallen seit Monaten mit offenen Schnittstellen auf. Das Formular-Plugin MetForm gab Einträge ohne Login preis, bei Otter Blocks konnten Fremde vor fünf Tagen geschützte Inhalte lesen. Essential Addons selbst erlaubte 2023 in den Versionen 5.4.0 bis 5.7.1 eine Rechteausweitung ohne Anmeldung, die Patchstack mit 9,8 Punkten bewertete (CVE-2023-32243).[3] Elementor schloss im Oktober eine Lücke über präparierte SVG-Grafiken.
Die Lücke im Zeitverlauf
Versionsreihen laut wordpress.org am 28. Oktober: 6.8 mit 54,7 Prozent (anfällige Versionen und Versionen mit Korrektur gemischt), 6.5 mit 7,1, 6.6 mit 6,8, 6.1 mit 5,7, übrige 25,7 Prozent. Status: offengelegt, Patch verfügbar, Angriffe nicht bekannt.
Ein Sicherheitsupdate gehört als solches ins Änderungsprotokoll. Unter kleineren Fehlerkorrekturen verbucht, landet das Update bei vielen Agenturen ganz hinten in der Warteschlange.
Markus Seyfferth, Chefredakteur Dr. Web
Was sollten Betreiber jetzt tun?
- Aktualisieren: Spielen Sie Version 6.8.7 ein und prüfen Sie unter Plugins, ob automatische Updates für Essential Addons aktiv sind.
- Cache leeren: Zwischengespeicherte Seiten aus der Zeit vor dem Update tragen keine Signatur, Beitragslisten laden dort laut Quellcode ohne Filter nach Zusatzfeldern nach.[2]
- Felder sichten: Klären Sie, welche Plugins Daten in Zusatzfeldern ablegen. Agenturen beginnen mit Kundenwebsites, die Beitragslisten nutzen.
- Meldepflicht prüfen: Liegen dort personenbezogene Daten, klären Sie, ob eine Meldung binnen 72 Stunden nötig ist (Art. 33 DSGVO).[5]
Die US-Behörde CISA führt CVE-2026-110509 nicht in ihrem Katalog aktiv ausgenutzter Schwachstellen.[4] Bis WPScan am 9. November den Angriffscode veröffentlicht, bleiben Betreibern zwölf Tage. Grundregeln fasst der Ratgeber zur WordPress-Sicherheit zusammen. Der WordPress-Hosting-Vergleich nennt Managed-Hoster, die Plugin-Updates selbst einspielen, der Vergleich der Page Builder zeigt Alternativen zu Elementor.
FAQ: Essential Addons for Elementor mit über 1 Million Installationen: Sicherheitslücke legt private Zusatzfelder offen
Welche Daten konnten Fremde über Essential Addons auslesen?
Laut WPScan konnten Fremde ohne Anmeldung Inhalte nicht öffentlicher Beitragstypen lesen und die Werte privater Zusatzfelder veröffentlichter Beiträge ermitteln. Welche Daten das sind, hängt davon ab, was Theme und Plugins einer Website in diesen Feldern speichern.
Welche Version von Essential Addons schließt die Sicherheitslücke?
Version 6.8.7 vom 19. Oktober 2026 behebt CVE-2026-110509, anfällig sind alle Versionen davor. Im Änderungsprotokoll erscheint die Korrektur nicht als Sicherheitsupdate. Prüfen Sie die Versionsnummer deshalb direkt in der Plugin-Liste von WordPress.
Wird die Sicherheitslücke in Essential Addons schon ausgenutzt?
Bis zum 28. Oktober 2026 sind keine Angriffe bekannt. Die US-Behörde CISA führt CVE-2026-110509 nicht in ihrem Katalog aktiv ausgenutzter Schwachstellen. WPScan will am 9. November Beispielcode für einen Angriff veröffentlichen.
Warum sollte ich nach dem Update den Cache leeren?
Version 6.8.7 signiert die Abfragen der Beitragslisten auf dem Server. Zwischengespeicherte Seiten aus der Zeit vor dem Update tragen diese Signatur nicht. Laut Quellcode lädt das Plugin dort zwar weiter Beiträge nach, verzichtet aber auf Filter nach Zusatzfeldern.
Muss ich die Lücke der Datenschutzbehörde melden?
Eine Meldung nach Art. 33 DSGVO ist nötig, sobald Sie von einer Verletzung des Schutzes personenbezogener Daten erfahren, außer ein Risiko für Betroffene ist unwahrscheinlich. Die Frist beträgt 72 Stunden. Dokumentieren Sie Ihre Bewertung in jedem Fall.
Quellen
5 Quellen anzeigenQuellen ausblenden
- WPScanEintrag zu CVE-2026-110509 (Essential Addons for Elementor < 6.8.7), veröffentlicht am 26. Oktober 2026; dazu NVD: CVE-2026-110509
- wordpress.orgEssential Addons for Elementor, Änderungsprotokoll, aktive Installationen und Versionsstatistik, abgerufen am 28. Oktober 2026; Quellcode der Versionen 6.8.6 und 6.8.7 aus dem Plugin-Verzeichnis
- NVDCVE-2023-32243, veröffentlicht am 12. Mai 2023, Bewertung von Patchstack
- CISAKnown Exploited Vulnerabilities Catalog, abgeglichen am 28. Oktober 2026
- EUR-LexVerordnung (EU) 2016/679 (DSGVO), Art. 33
Mehr Newshunger?
- Rank Math mit über 4 Millionen Installationen: Schwere Sicherheitslücke öffnet Mitarbeiter-Konten den Server
- Jupiter X Core mit über 70.000 Installationen: Kritische Sicherheitslücke öffnet Fremden das Administratorkonto
- Analytics Insights mit über 10.000 Installationen: schwere Sicherheitslücke über Google Analytics
- Bridge-Theme: Kritische Sicherheitslücke im Mitglieder-Plugin macht Fremde zu Administratoren
- GeoDirectory mit über 10.000 Installationen: Abonnenten konnten Dateien vom Server löschen
