Essential Addons for Elementor mit über 1 Million Installationen: Sicherheitslücke macht Fremde zu Redakteuren

Über das Registrierungsformular von Essential Addons for Elementor konnten sich Fremde ein Konto mit Redakteursrechten anlegen. Wordfence machte die Lücke am 30. Oktober öffentlich, Version 6.8.8 vom 28. Oktober schließt sie. Es ist schon die zweite Sicherheitslücke in der Registrierung des Plugins innerhalb von zwei Wochen.

Essential Addons ist eine Sammlung von Zusatz-Widgets für den Seitenbaukasten Elementor und läuft laut wordpress.org auf über 1 Million Websites. Vor drei Tagen berichtete Dr. Web über private Zusatzfelder, die das Plugin ohne Anmeldung preisgab. Die neue Lücke trägt die Kennung CVE-2026-118205 und wiegt schwerer: Wordfence bewertet sie nach CVSS 3.1 mit 7,4 von 10 Punkten. Gemeldet hat sie ein Sicherheitsforscher unter dem Namen „crow“.^[1]

Wie wurden Fremde zu Redakteuren?

Im Widget für Anmeldung und Registrierung legen Betreiber fest, welche Rolle neue Nutzer bekommen. WordPress speichert bei jeder Änderung einer Seite eine Revision, also eine frühere Fassung samt dieser Einstellung. Laut Wordfence wies das Plugin Entwürfe und geplante Seiten zurück, nahm eine Revision aber an. Auch die Prüfung, ob ein Administrator die Rolle festgelegt hatte, ließ eine Revision passieren. Einen Sicherheitsschlüssel, der gefälschte Anfragen abwehren soll, konnte jeder Besucher ohne Konto abrufen.^[1]

Ausnutzen lässt sich das nur unter zwei Bedingungen: Unter Einstellungen, Allgemein muss „Jeder kann sich registrieren“ aktiv sein. Außerdem muss ein Administrator im Widget einmal eine höhere Rolle als die Voreinstellung gespeichert und die Änderung später zurückgenommen haben. Deshalb liegt der Wert bei 7,4 und nicht höher. Sind sie erfüllt, erhalten Angreifer die Rechte eines Redakteurs: Sie dürfen Beiträge und Seiten anderer bearbeiten und veröffentlichen, Dateien hochladen und auf einzelnen Websites ungefiltertes HTML einfügen, also auch Skripte.^[1]

Was ändert Version 6.8.8?

Wordfence informierte den Hersteller WPDeveloper am 27. Oktober, einen Tag später erschien die Korrektur. Ein Vergleich des Quellcodes der Versionen 6.8.7 und 6.8.8 zeigt: Das Formular lehnt Revisionen jetzt ausdrücklich ab und übernimmt eine höhere Rolle nur noch, wenn sie in der aktuellen Fassung der Seite freigegeben ist. Im Änderungsprotokoll stehen dagegen Neuerungen am Veranstaltungskalender und kleinere Fehlerkorrekturen.^[2]

Die erste Lücke in der Registrierung schloss Version 6.8.7 vom 19. Oktober. Über die Registrierung mit einem Einmalcode per E-Mail umgingen neue Konten die Freigabe durch einen Administrator, sofern beide Funktionen aktiv waren. WPScan veröffentlichte den Fund des Forschers Jashid Sany am 26. Oktober (CVE-2026-110508, CVSS 3.1: 5,3) und will am 9. November Beispielcode für einen Angriff zeigen.^[3] Schon 2023 erlaubte Essential Addons über das Zurücksetzen von Passwörtern eine Rechteausweitung ohne Anmeldung, die Patchstack mit 9,8 Punkten bewertete (CVE-2023-32243).^[4]

Anmelde- und Registrierungsfunktionen sind in diesem Herbst ein wiederkehrendes Einfallstor. Im Kirki-Plugin konnten Abonnenten das Passwort des Administrators überschreiben, im Plugin Jupiter X Core öffnete eine Social-Login-Funktion Fremden das Administratorkonto. Bei Essential Addons kommt hinzu, dass eine längst zurückgenommene Einstellung weiterwirkte: Wer sie zurücknimmt, löscht sie nicht aus den Revisionen.

Was sollten Betreiber jetzt tun?

• Aktualisieren: Spielen Sie Version 6.8.8 ein und prüfen Sie unter Plugins, ob automatische Updates für Essential Addons aktiv sind.
• Registrierung prüfen: Braucht Ihre Website keine offene Registrierung, schalten Sie „Jeder kann sich registrieren“ ab. Die Standardrolle für neue Nutzer sollte „Abonnent“ lauten.
• Konten sichten: Filtern Sie die Benutzerliste nach Redakteuren und Administratoren und löschen Sie unbekannte Konten. Agenturen beginnen mit Kundenwebsites, die das Registrierungsformular nutzen.
• Meldepflicht prüfen: Finden Sie fremde Konten mit erweiterten Rechten, klären Sie, ob personenbezogene Daten betroffen sind und eine Meldung binnen 72 Stunden nötig ist (Art. 33 DSGVO).^[6]

Seit dem 28. Oktober zählt wordpress.org 589.371 Downloads des Plugins. Das sind keine Websites, die Zahl enthält auch Neuinstallationen. Mindestens 19,4 Prozent der Installationen liefen am 31. Oktober noch auf Versionsreihen vor 6.8.^[2] Im Katalog aktiv ausgenutzter Schwachstellen der CISA steht keine der beiden Lücken.^[5] Grundregeln fasst der Ratgeber zur WordPress-Sicherheit zusammen. Der WordPress-Hosting-Vergleich nennt Managed-Hoster, die Plugin-Updates selbst einspielen, der Vergleich der Page Builder zeigt Alternativen zu Elementor.

FAQ: Essential Addons for Elementor mit über 1 Million Installationen: Sicherheitslücke macht Fremde zu Redakteuren

Quellen

Mehr Newshunger?

• Essential Addons for Elementor mit über 1 Million Installationen: Sicherheitslücke legt private Zusatzfelder offen
• Gravity Forms: Kritische Sicherheitslücke trifft Formulare, die Beiträge anlegen
• Enable Media Replace: Behobene Sicherheitslücke stand über drei Jahre wieder offen
• Formidable Forms: Sicherheitslücke lässt Nutzer fremde Plugins installieren
• Bridge-Theme: Kritische Sicherheitslücke im Mitglieder-Plugin macht Fremde zu Administratoren