Fremde konnten ohne Konto die Kontaktanfragen abrufen, die das Plugin Royal Addons for Elementor in der Datenbank ablegt. WPScan machte die Sicherheitslücke am 26. Oktober öffentlich, zusammen mit drei weiteren. Version 1.7.1070 vom 23. Oktober schließt alle vier. Im Änderungsprotokoll lesen Betreiber nur von kleineren Fehlern.
Ein Klick · kostenlosDr. Web bei Google bevorzugenMarkieren Sie drweb.de als bevorzugte Quelle. Dann sehen Sie unsere Artikel öfter unter den Top-Meldungen.Jetzt hinzufügenName, E-Mail-Adresse, Nachricht: Genau diese Angaben nennt WPScan als Beispiel für Daten, die über das Plugin abfließen konnten. Royal Addons ist eine Sammlung von Widgets und Vorlagen für den Seitenbaukasten Elementor mit über 600.000 aktiven Installationen. Die Lücke trägt die Kennung CVE-2026-107100, gemeldet hat sie der Sicherheitsforscher Maciek Komorowski.[1]
Das Wichtigste in Kürze
- Royal Addons bis 1.7.1069 gibt ohne Anmeldung gespeicherte Formulareinsendungen preis (CVSS 3.1: 5,3, vergeben von WPScan).
- Eine zweite Lücke ohne Anmeldung trägt fremde Adressen als bestätigte Abonnenten in die Mailchimp-Liste des Betreibers ein.
- Version 1.7.1070 vom 23. Oktober behebt alle vier Fehler, Angriffe sind bisher nicht bekannt.
- WPScan will am 9. November Beispielcode für Angriffe veröffentlichen.
Welche Daten lagen offen?
Der Formularbaukasten des Plugins legt jede Einsendung als veröffentlichten Beitrag eines eigenen, nicht öffentlichen Inhaltstyps ab. Eine Funktion der Produktvergleichs-Ansicht für WooCommerce lieferte bis 1.7.1069 den Inhalt jedes veröffentlichten Beitrags aus. Ob der Inhaltstyp für Besucher bestimmt ist, prüfte sie nicht. So steht es im Quellcode beider Versionen, den Dr. Web verglichen hat.[2]
Bei der Mailchimp-Lücke (CVE-2026-107097, ebenfalls 5,3 Punkte) nutzte das Plugin den gespeicherten Zugangsschlüssel des Betreibers für jede Anfrage, ohne die Berechtigung zu prüfen. Neue Adressen landeten direkt als bestätigte Abonnenten in der Liste, also ohne Bestätigungsmail. Werbe-Mails brauchen in Deutschland nach § 7 Abs. 2 UWG eine ausdrückliche Einwilligung. Als Nachweis dient in der Praxis das Double-Opt-in.[3] Zwei weitere Lücken setzen ein Konto voraus. Ab der Rolle Autor ließen sich Einsendungen eines fremden Formulars an eine eigene Adresse umleiten (3,8 Punkte), ab der Rolle Mitarbeiter Skripte einschleusen (6,8 Punkte).[1]
Warum half die Sicherheitsprüfung nicht?
Beide Funktionen prüften bereits ein Sicherheitstoken, in WordPress Nonce genannt. Dieses Token steht aber im Quelltext jeder Seite. Eine Nonce schützt davor, dass fremde Websites Aktionen im Namen eines angemeldeten Nutzers auslösen, eine Zugriffskontrolle ersetzt sie nicht. Version 1.7.1070 prüft deshalb zusätzlich, ob ein Inhaltstyp öffentlich sichtbar ist und ob die angefragte Mailchimp-Liste zu einem Widget auf der Seite gehört.[2]
Dasselbe Muster zieht sich durch die Erweiterungen für Seitenbaukästen. Heute früh meldete Dr. Web, dass Essential Addons private Zusatzfelder offenlegte, das Formular-Plugin MetForm gab Einträge ohne Login preis. Royal Addons selbst erlaubte 2023 vor Version 1.3.79 das Hochladen von Schadcode ohne Anmeldung, die NVD bewertete das mit 9,8 Punkten (CVE-2023-5360).[4]
Die vier Lücken
Zeitverlauf
Versionsreihen laut wordpress.org am 28. Oktober: 1.7 mit 92,3 Prozent (anfällige Versionen und Version mit Korrektur gemischt), 1.3 mit 7,7 Prozent. Status: offengelegt, Patch verfügbar, Angriffe nicht bekannt.
Ein Kontaktformular, das Anfragen für jeden lesbar ablegt, ist ein Datenleck mit Eingabefeld.
Markus Seyfferth, Chefredakteur Dr. Web
Was sollten Betreiber jetzt tun?
- Aktualisieren: Spielen Sie Version 1.7.1070 ein und prüfen Sie unter Plugins, ob automatische Updates für Royal Addons aktiv sind.
- Mailchimp sichten: Suchen Sie in Ihren Listen nach Abonnenten, die ohne Bestätigungsmail hinzukamen, und archivieren Sie verdächtige Einträge vor dem nächsten Versand.
- Formulare kontrollieren: Prüfen Sie in den Widget-Einstellungen, ob Einsendungen noch an Ihre eigene Adresse gehen. Agenturen prüfen zuerst Kundenwebsites mit mehreren Redakteuren.
- Meldepflicht prüfen: Speichert das Plugin Kontaktanfragen, klären Sie, ob eine Meldung binnen 72 Stunden nötig ist (Art. 33 DSGVO).[5]
Die US-Behörde CISA führt keine der vier Kennungen in ihrem Katalog aktiv ausgenutzter Schwachstellen. Vom 23. bis 27. Oktober zählte wordpress.org rund 153.000 Downloads, rechnerisch etwa ein Viertel der über 600.000 Installationen.[2] Grundregeln fasst der Ratgeber zur WordPress-Sicherheit zusammen. Der WordPress-Hosting-Vergleich nennt Managed-Hoster, die Plugin-Updates selbst einspielen.
FAQ: Royal Addons for Elementor mit über 600.000 Installationen: Sicherheitslücke legt Formulareinsendungen offen
Welche Daten konnten Fremde über Royal Addons auslesen?
Laut WPScan konnten Fremde ohne Anmeldung Inhalte nicht öffentlicher Inhaltstypen abrufen. Dazu zählen die Einsendungen, die der Formularbaukasten des Plugins speichert, etwa Namen, E-Mail-Adressen und Nachrichten aus Kontaktformularen.
Welche Version von Royal Addons schließt die Sicherheitslücken?
Version 1.7.1070 vom 23. Oktober 2026 behebt alle vier Lücken, anfällig sind die Versionen bis 1.7.1069. Im Änderungsprotokoll steht nur ein Hinweis auf kleinere Fehler. Prüfen Sie die Versionsnummer deshalb direkt in der Plugin-Liste von WordPress.
Was bedeutet die Mailchimp-Lücke für meine Newsletter-Liste?
Fremde konnten ohne Anmeldung beliebige Adressen als bestätigte Abonnenten in Ihre Mailchimp-Liste eintragen, ohne Bestätigungsmail. Solche Einträge haben kein Double-Opt-in. Für Werbe-Mails an diese Adressen fehlt damit der Nachweis der Einwilligung nach § 7 UWG.
Wird die Sicherheitslücke in Royal Addons schon ausgenutzt?
Bis zum 28. Oktober 2026 sind keine Angriffe bekannt. Die US-Behörde CISA führt keine der vier Kennungen in ihrem Katalog aktiv ausgenutzter Schwachstellen. WPScan will am 9. November Beispielcode für Angriffe veröffentlichen.
Muss ich die Lücke der Datenschutzbehörde melden?
Eine Meldung nach Art. 33 DSGVO ist nötig, sobald Sie von einer Verletzung des Schutzes personenbezogener Daten erfahren, außer ein Risiko für Betroffene ist unwahrscheinlich. Die Frist beträgt 72 Stunden. Dokumentieren Sie Ihre Bewertung in jedem Fall.
Quellen
5 Quellen anzeigenQuellen ausblenden
- WPScan: Einträge zu CVE-2026-107100, CVE-2026-107097, CVE-2026-106647 und CVE-2026-107098 (Royal Elementor Addons bis 1.7.1069), veröffentlicht am 26. Oktober 2026
- wordpress.orgRoyal Addons for Elementor, Änderungsprotokoll, aktive Installationen, Download- und Versionsstatistik, abgerufen am 28. Oktober 2026; Quellcode der Versionen 1.7.1069 und 1.7.1070 aus dem Plugin-Verzeichnis
- Bundesministerium der JustizGesetz gegen den unlauteren Wettbewerb, § 7
- NVDCVE-2023-5360, veröffentlicht am 31. Oktober 2023
- EUR-LexVerordnung (EU) 2016/679 (DSGVO), Art. 33
Mehr Newshunger?
- Essential Addons for Elementor mit über 1 Million Installationen: Sicherheitslücke legt private Zusatzfelder offen
- Rank Math mit über 4 Millionen Installationen: Schwere Sicherheitslücke öffnet Mitarbeiter-Konten den Server
- Jupiter X Core mit über 70.000 Installationen: Kritische Sicherheitslücke öffnet Fremden das Administratorkonto
- Otter Blocks mit über 300.000 Installationen: Fremde konnten geschützte Inhalte lesen
- Analytics Insights mit über 10.000 Installationen: schwere Sicherheitslücke über Google Analytics
