Fremde ohne Konto konnten über die Kommentarfunktion Skripte in WordPress-Websites mit dem Plugin Prime Slider einschleusen. Die Sicherheitslücke steckte ausgerechnet in einem Filter, den Hersteller BdThemes Anfang Oktober gegen eine frühere Lücke eingebaut hatte. Version 4.7.3 vom 18. Oktober schließt den Fehler.
Ein Klick · kostenlosDr. Web bei Google bevorzugenMarkieren Sie drweb.de als bevorzugte Quelle. Dann sehen Sie unsere Artikel öfter unter den Top-Meldungen.Jetzt hinzufügenVier Sicherheitsupdates in zwölf Tagen: So oft hat BdThemes im Oktober an Prime Slider nachgebessert, einer Sammlung von Slider-Widgets für den Seitenbaukasten Elementor mit über 100.000 aktiven Installationen. Am 27. Oktober machte Wordfence die jüngste Lücke öffentlich und vergab die Kennung CVE-2026-111111 sowie einen CVSS-3.1-Wert von 7,2. Gemeldet hat sie der Forscher crow.[1]
Das Wichtigste in Kürze
- Prime Slider bis 4.7.2 lässt Fremde ohne Anmeldung über Kommentare Skripte einschleusen (CVSS 3.1: 7,2).
- Der Fehler steckt in einem Schutzfilter, den Version 4.7.0 am 6. Oktober gegen eine ältere Lücke eingeführt hat.
- Version 4.7.3 vom 18. Oktober behebt die Lücke, aktuell ist 5.1.0. Angriffe sind bisher nicht bekannt.
- Laut wordpress.org liefen am 28. Oktober nur 17,9 Prozent der Installationen auf dem aktuellen Versionszweig 5.1.
Wie gelangt Schadcode über einen Kommentar auf die Seite?
WordPress bereinigt Kommentare von Besuchern ohne Konto mit einem eigenen Filter, der gefährliches HTML unschädlich macht. Prime Slider schaltet seit Version 4.7.0 einen zweiten Filter dazu. Der Zusatzfilter entfernt per regulärem Ausdruck Attribute, mit denen die JavaScript-Bibliothek des Plugins ihre Bedienelemente aktiviert. Laut Wordfence verschluckte der Ausdruck dabei schließende Anführungszeichen. Bereits entschärfter Text wurde so wieder zu echten HTML-Attributen, etwa zu solchen, die beim Anwählen eines Elements ein Skript starten.[1]
Das eingeschleuste Skript landet in der Datenbank und läuft bei jedem Aufruf der Seite im Browser des Besuchers. Öffnet ein angemeldeter Administrator die Seite, kann das Skript in seinem Namen Einstellungen ändern oder Konten anlegen. Voraussetzung ist allein eine offene Kommentarfunktion.[1]
Warum öffnete ausgerechnet der Schutzfilter die Lücke?
Den Filter baute BdThemes am 6. Oktober ein, als Antwort auf CVE-2026-105875. Über diese Lücke konnten Nutzer ab der Rolle Mitarbeiter Skripte über Attribute dieser JavaScript-Bibliothek in Beiträge schmuggeln, Patchstack bewertete sie mit 6,5 Punkten.[3] Am 11. und 13. Oktober folgten zwei Nachbesserungen gegen Umgehungen (CVE-2026-109691). Am 15. Oktober informierte Wordfence den Hersteller über den Fehler im Kommentarfilter.[3]
Das Muster kennt die Branche: Eine Nachbearbeitung nach der Bereinigung hebelt die Prüfung davor aus. HTML lässt sich mit regulären Ausdrücken nicht verlässlich zerlegen, jede Ersetzung kann die Grenzen zwischen Attributen verschieben. Vor knapp zwei Wochen fiel Complianz mit derselben Kombination auf, als dort der Cookie-Blocker Kommentare umschrieb. Bei WebP Express öffnete vergangene Woche ein Umbau des HTML-Codes eine schwere Sicherheitslücke ohne Anmeldung. Versionen vor 4.7.0 enthalten den fehlerhaften Filter nicht, dafür die Lücke, die er schließen sollte.[2]
Zeitverlauf
Versionszweige laut wordpress.org am 28. Oktober: 5.1 mit 17,9 Prozent, 4.7 mit 16,0 Prozent (anfällige und korrigierte Versionen gemischt), Zweige vor 4.7 zusammen 30,2 Prozent, übrige 36,0 Prozent. Status: offengelegt, Patch verfügbar.
Ein Schutzfilter, der nach der Bereinigung noch einmal am HTML schraubt, macht die Bereinigung wertlos.
Markus Seyfferth, Chefredakteur Dr. Web
Was sollten Betreiber jetzt tun?
- Aktualisieren: Spielen Sie Version 5.1.0 ein, mindestens aber 4.7.3, und prüfen Sie unter Plugins, ob automatische Updates für Prime Slider aktiv sind.
- Kommentare sichten: Durchsuchen Sie Kommentare seit dem 6. Oktober nach ungewöhnlichem HTML-Code und löschen Sie verdächtige Einträge.
- Konten prüfen: Finden sich solche Kommentare, kontrollieren Sie die Liste der Administratoren und die zuletzt geänderten Einstellungen.
- Übergang schaffen: Lässt sich das Update nicht sofort einspielen, schließen Sie die Kommentarfunktion vorübergehend.
- Meldepflicht klären: Ist ein Administratorkonto betroffen, prüfen Sie, ob eine Meldung binnen 72 Stunden nötig ist (Art. 33 DSGVO).[4]
Mindestens 30 Prozent der Installationen liefen am 28. Oktober laut wordpress.org noch auf Versionszweigen vor 4.7.[2] Agenturen mit vielen Kundenwebsites prüfen diese Installationen zuerst. Grundregeln fasst der Ratgeber zur WordPress-Sicherheit zusammen, der WordPress-Hosting-Vergleich nennt Managed-Hoster, die Plugin-Updates selbst einspielen.
FAQ: Prime Slider mit über 100.000 Installationen: Schwere Sicherheitslücke öffnet die Kommentarspalte für Schadcode
Welche Versionen von Prime Slider sind betroffen?
Wordfence führt alle Versionen bis 4.7.2 als anfällig. Version 4.7.3 vom 18. Oktober 2026 schließt die Sicherheitslücke, aktuell ist 5.1.0. Welche Version läuft, zeigt die Plugin-Liste im WordPress-Backend.
Braucht ein Angreifer ein Konto auf der Website?
Nein. Ein Kommentar genügt, sofern die Website Kommentare zulässt. Das eingeschleuste Skript läuft danach bei jedem Aufruf der Seite im Browser der Besucher, auch bei angemeldeten Administratoren.
Wird die Sicherheitslücke in Prime Slider schon ausgenutzt?
Bis zum 28. Oktober 2026 sind keine Angriffe bekannt. Die US-Behörde CISA führt CVE-2026-111111 nicht in ihrem Katalog aktiv ausgenutzter Schwachstellen. Wordfence hat die Lücke am 27. Oktober öffentlich gemacht.
Sind Versionen vor 4.7.0 sicher?
Nein. Der fehlerhafte Filter kam erst mit 4.7.0 hinzu. Ältere Versionen enthalten aber die Lücke, gegen die er gebaut wurde: Dort können Nutzer ab der Rolle Mitarbeiter Skripte einschleusen (CVE-2026-105875). Aktualisieren Sie auf die aktuelle Version.
Quellen
4 Quellen anzeigenQuellen ausblenden
- WordfenceEintrag zu CVE-2026-111111 (Prime Slider bis 4.7.2, Stored Cross-Site Scripting ohne Anmeldung über Kommentarinhalte), veröffentlicht am 27. Oktober 2026
- wordpress.orgPrime Slider, Änderungsprotokoll, aktive Installationen und Versionsstatistik, abgerufen am 28. Oktober 2026; Quellcode der Versionen 4.6.2 und 4.7.0 aus dem Plugin-Verzeichnis
- CVE-Programm: Einträge zu CVE-2026-111111, CVE-2026-109691 und CVE-2026-105875, abgerufen am 28. Oktober 2026
- EUR-LexVerordnung (EU) 2016/679 (DSGVO), Art. 33
Mehr Newshunger?
- Royal Addons for Elementor mit über 600.000 Installationen: Sicherheitslücke legt Formulareinsendungen offen
- Essential Addons for Elementor mit über 1 Million Installationen: Sicherheitslücke legt private Zusatzfelder offen
- Rank Math mit über 4 Millionen Installationen: Schwere Sicherheitslücke öffnet Mitarbeiter-Konten den Server
- Jupiter X Core mit über 70.000 Installationen: Kritische Sicherheitslücke öffnet Fremden das Administratorkonto
- Kirki mit über 500.000 Installationen: Schwere Sicherheitslücke macht Abonnenten zu Administratoren
- Elementor mit über 10 Millionen Installationen: Präparierte SVG-Grafiken schleusen Skripte ein
