🟠 CVE-2026-13392: High Schwachstelle

„`html

Zusammenfassung

Die Sicherheitslücke CVE-2026-13392 betrifft das WordPress-Plugin ElementsKit Elementor Addons in Versionen vor 3.10.01. Die Schwachstelle ermöglicht es Administratoren, beliebigen PHP-Code auf dem Server auszuführen. In WordPress-Multisite-Umgebungen können Subsite-Administratoren diese Lücke ausnutzen, um Code-Execution-Rechte zu erlangen, die über ihre normalen Berechtigungen hinausgehen.

Betroffene Systeme

Das Plugin ElementsKit Elementor Addons in allen Versionen vor 3.10.01 ist betroffen. Dies umfasst sowohl Single-Site- als auch Multisite-WordPress-Installationen, auf denen das Plugin aktiv ist.

Technische Details

Die Verwundbarkeit entsteht durch eine unzureichende Validierung und Sanitization von benutzerdefinierten Widget-Definitionen. Administratoren können Custom-Widgets erstellen und speichern. Das Plugin schreibt diese Definitionen direkt und ungeprüft in PHP-Dateien, die es anschließend ausführt. Dadurch wird keine Input-Validierung durchgeführt, bevor der Code in die generierte PHP-Datei eingefügt wird.

In Multisite-Netzwerken verschärft sich die Situation erheblich: Subsite-Administratoren haben normalerweise keine Berechtigung für Code- oder Datei-Editing. Diese Lücke umgeht diese Sicherheitsrestriktionen vollständig und ermöglicht ihnen Host-Level-Code-Execution, die über ihre gewährten Netzwerkberechtigungen hinausgeht.

Empfohlene Massnahmen

Sofortige Schritte:

• Plugin auf Version 3.10.01 oder höher aktualisieren
• Administratorenrechte auf notwendige Benutzer beschränken
• In Multisite-Umgebungen Subsite-Administrator-Berechtigungen überprüfen
• Server-Logs auf verdächtige PHP-Code-Ausführungen überwachen

Bis zur Aktualisierung sollte das Plugin deaktiviert werden, falls nicht zwingend erforderlich.

Bewertung

CVSS-Score: 7.2 (High)

Die Bewertung spiegelt das erhebliche Risiko wider. Obwohl administrative Rechte erforderlich sind, ermöglicht die Lücke in Multisite-Umgebungen Privilegien-Eskalation. Ein Update steht derzeit nicht zur Verfügung – dies erhöht die Dringlichkeit von Workarounds und Überwachung.

„`