Das WordPress-Plug-in Elementor Pro kommt auf mehr als sechs Millionen aktive Installationen, es ist also weit verbreitet. Daher wiegt eine nun entdeckte Schwachstelle umso schwerer, da sie nicht angemeldeten Angreifern aus dem Netz das Hochladen beliebiger Dateien erlaubt; am Ende einer Angriffskette steht dabei die vollständige Übernahme einer verwundbaren WordPress-Instanz.
Davor warnt das IT-Sicherheitsunternehmen Wordfence aktuell. Konkret erlaubt die Sicherheitslücke bösartigen Akteuren aus dem Netz ohne vorherige Authentifizierung, beliebige Dateien einschließlich ausführbarer PHP-Dateien auf anfällige Instanzen hochzuladen. Voraussetzung für einen Missbrauch der Lücke ist, dass eine Seite mit einem Elementor-Pro-Formular-Widget mit mindestens einem Datei-Hochladen-Feld veröffentlicht wurde, dieses muss nicht als „notwendig“ markiert sein. Auslöser ist demnach ein Logikfehler bei der Überprüfungsfunktion von Uploads (CVE-2026-32475, CVSS 9.8, Risiko „kritisch“).
Elementor Pro: Update verfügbar
Wordfence hat die Schwachstelle im Rahmen des Bug-Bounty-Programms des Unternehmens gemeldet bekommen. Der Melder erhält dafür 15.600 US-Dollar Belohnung – das ist ein ungewöhnlich hoher Betrag und deutet auf den Schweregrad in der Praxis für WordPress-Betreiber hin. Die IT-Sicherheitsforscher haben das Elementor-Team Ende Juli über das Sicherheitsleck informiert. Seit Mittwoch, 19. August, steht nun die fehlerbereinigte Softwareversion 4.2.2 bereit. Admins sollten prüfen, ob ihre Instanzen bereits den aktuellen Stand aufweisen und die Aktualisierung gegebenenfalls zügig nachholen.
