Seit Anfang September führt Patchstack 25 Sicherheitslücken in Unlimited Elements for Elementor, sechs davon kamen in knapp zwei Wochen dazu.[3] Drei lassen sich ohne Konto auslösen. Die Version 2.0.28 liegt über allen betroffenen Ständen, Betreiber sollten prüfen, ob sie darauf laufen.
Ein Klick · kostenlosDr. Web bei Google bevorzugenMarkieren Sie drweb.de als bevorzugte Quelle. Dann sehen Sie unsere Artikel öfter unter den Top-Meldungen.Jetzt hinzufügenInhalt 5 Abschnitte
Die US-Datenbank NVD hat seit dem 28. Oktober sechs Einträge zum WordPress-Plugin Unlimited Elements for Elementor aufgenommen, zuletzt am 7. November.[1] Meldende Stellen sind Patchstack und Wordfence, betroffen sind laut den Einträgen Versionen bis höchstens 2.0.26. Laut wordpress.org hat das Plugin mehr als 300.000 aktive Installationen, Version 2.0.28 erschien am 3. November.[2]
Das Wichtigste in Kürze
- Der höchste Wert liegt bei 7,2 von 10 Punkten (CVSS 3.1, Stufe hoch, vergeben von Wordfence), die übrigen Einträge liegen zwischen 4,3 und 7,1.
- Zwei Einträge verlangen einen angeklickten Link, einer ein RSS-Feed-Widget mit fremder Adresse, drei ein Konto mit niedrigen Rechten.
- Ab Version 2.0.28 sind die Korrekturen enthalten, Angriffe sind nicht belegt.
Was steckt hinter den sechs Einträgen?
Vier Einträge sind Cross-Site-Scripting, also Schadcode, der im Browser eines Besuchers läuft. Zwei davon, CVE-2026-115593 und CVE-2026-62007, bewertet Patchstack mit 7,1 Punkten; sie wirken über einen präparierten Link, den ein Besucher anklicken muss.[1] Der dritte, CVE-2026-116558, ist gespeichert: Laut Wordfence gelangt Skript-Code über Titel und Beschreibung eines fremden RSS-Feeds in die Seite, sobald ein Betreiber das RSS-Feed-Widget auf einen Feed des Angreifers gerichtet hat.[1] Der vierte, CVE-2026-121579, braucht ein Konto.
Die übrigen zwei verlangen ebenfalls ein Konto: eine Datei-Einbindung (CVE-2026-62121, 6,5 Punkte) und eine fehlende Rechteprüfung (CVE-2026-62023, 4,3 Punkte).[1] Das Änderungsprotokoll von Version 2.0.27 nennt Korrekturen, die dazu passen: Ein Symbol-Pfad darf nur noch auf echte Dateien im Website-Verzeichnis zeigen, die Suche gibt Eingaben nicht mehr ungefiltert zurück, und Beitragslisten liefern Nutzern ohne Leserecht keine privaten Beiträge mehr. Welche Korrektur zu welchem Eintrag gehört, nennen die Quellen nicht.[2]
Version 2.0.28 bereinigt Feed-Inhalte: Titel und andere Textfelder werden zu reinem Text, Beschreibungen behalten nur das HTML, das WordPress in Beiträgen erlaubt, und kodierte Zeichen werden vor der Prüfung dekodiert.[2] Wordfence schreibt zu CVE-2026-116558, die Vorverarbeitung aus Version 2.0.25 habe Ausgaben in Inhaltspositionen bewusst ausgenommen.[1] Eine frühere Korrektur ließ also eine Lücke offen.
Am 9. November liefen 22,9 Prozent der Installationen auf der Reihe 1.5, die vor allen Korrekturen liegt, rechnerisch mindestens rund 69.000 von mehr als 300.000. Die Reihe 2.0 hatte 75,5 Prozent und enthält betroffene wie korrigierte Versionen.[2]
Ist das ein Einzelfall?
Bei diesem Plugin nicht. Patchstack zählt in seiner Datenbank 64 behobene Einträge und 25 allein seit dem 3. September.[3] Dr. Web hat Anfang Oktober über die zweite SQL-Lücke ohne Login berichtet. Ein Baukasten mit Widgets für Feeds, Suche, Beitragslisten und Symbole nimmt an vielen Stellen Eingaben an oder holt Inhalte von außen, jede dieser Stellen braucht ihre eigene Prüfung. Ähnlich lief es bei W3 Total Cache mit der dritten Kommentar-Lücke in sieben Wochen und bei Ultimate Member mit sechs Lücken in einem Update.
Der Stand: Patch verfügbar, Exploit-Code nicht öffentlich, Angriffe nicht belegt. Im Katalog der CISA für ausgenutzte Schwachstellen stehen die Einträge nicht, abgeglichen am 9. November.[1]
Wann die Einträge erschienen
Auf welchen Versionsreihen die Installationen liefen
Orange: Reihe 1.5, durchweg vor allen Korrekturen. Die Reihe 2.0 enthält betroffene Versionen (bis 2.0.26) und die korrigierten 2.0.27 und 2.0.28. Die Statistik von wordpress.org zeigt Anteile je Versionsreihe, nicht je Einzelversion.
Ein Baukasten mit Widgets für Feeds, Suche und Symbole hat viele Türen. Sechs Einträge in zwei Wochen zeigen, dass nicht alle zu sind.
Markus Seyfferth, Chefredakteur Dr. Web
Was sollten Betreiber jetzt tun?
- Aktualisieren: Spielen Sie Unlimited Elements 2.0.28 oder neuer ein und schalten Sie automatische Updates für das Plugin ein.
- Feed-Widget prüfen: Richten Sie das RSS-Feed-Widget nur auf Feeds, die Sie kennen und kontrollieren, bis das Update eingespielt ist.
- Konten sichten: Prüfen Sie, welche Nutzer mit niedrigen Rechten auf der Seite angemeldet sind, und löschen Sie nicht benötigte Konten.
- Auf Spuren achten: Suchen Sie in der Benutzerliste nach unbekannten Administratoren und prüfen Sie kürzlich geänderte Plugin- und Theme-Dateien. Bei Verdacht setzen Sie Passwörter zurück und beenden alle Sitzungen.
Agenturen mit vielen Kundenseiten filtern ihre Update-Werkzeuge nach dem Plugin und allen Versionen bis 2.0.26. Enthalten Seiten mit Elementor-Zusätzen Kunden- oder Formulardaten, prüfen Betreiber bei Verdacht auf einen erfolgreichen Angriff die Meldepflicht nach Art. 33 DSGVO, die 72 Stunden nach Bekanntwerden gilt. Auch bei Elementor selbst gab es im Oktober eine Sicherheitslücke bei SVG-Uploads. Grundregeln fasst der Ratgeber zur WordPress-Sicherheit zusammen, im WordPress-Hosting-Vergleich finden Betreiber Anbieter, die den Betrieb übernehmen.
FAQ: Schwere Sicherheitslücke bei Unlimited Elements
Welche Version von Unlimited Elements ist sicher?
Alle sechs Einträge betreffen laut NVD Versionen bis höchstens 2.0.26. Die aktuelle Version 2.0.28 vom 3. November 2026 liegt darüber. Prüfen Sie im Plugin-Bereich Ihres WordPress, welche Version läuft.
Braucht ein Angreifer ein Konto auf der Website?
Bei drei Einträgen nicht. Zwei davon verlangen, dass ein Besucher einen präparierten Link anklickt. Beim dritten, CVE-2026-116558, muss die Seite das RSS-Feed-Widget auf einen Feed richten, den der Angreifer kontrolliert.
Wird die Sicherheitslücke schon ausgenutzt?
Angriffe sind bis zum 9. November 2026 nicht belegt. Im Katalog der CISA für ausgenutzte Schwachstellen stehen die sechs Einträge nicht, öffentlichen Exploit-Code nennt keine der geprüften Quellen.
Reicht es, das RSS-Feed-Widget zu entfernen?
Nur für den Eintrag CVE-2026-116558. Die fünf anderen Einträge betreffen andere Funktionen des Plugins, deshalb bleibt das Update auf 2.0.28 nötig.
Quellen
3 Quellen anzeigenQuellen ausblenden
- NVDCVE-2026-115593, CVE-2026-62023, CVE-2026-62121, CVE-2026-62007, CVE-2026-116558, CVE-2026-121579, veröffentlicht zwischen dem 28. Oktober und dem 7. November 2026; CISA: Known Exploited Vulnerabilities Catalog, abgeglichen am 9. November 2026
- wordpress.orgUnlimited Elements for Elementor, Änderungsprotokoll, aktive Installationen und Versionsstatistik, abgerufen am 9. November 2026
- PatchstackSchwachstellen-Datenbank zu Unlimited Elements for Elementor, abgerufen am 9. November 2026
Mehr Newshunger?
- Unlimited Elements: zweite SQL-Lücke ohne Login binnen drei Wochen
- Schwere Sicherheitslücke bei Optimole
- W3 Total Cache: dritte Kommentar-Lücke in sieben Wochen bei über 900.000 Sites
- Ultimate Member: sechs Lücken in einem Update für über 200.000 WordPress-Sites
- WP Fastest Cache mit über 1 Million Installationen: Cache legte Zugangsdaten neuer Nutzer offen
