WID-SEC-2026-2859: SSRF- und XSS-Lücken in WP Royal Elementor Addons — so prüfen Sie Ihre Installation jetzt

Ein einziger bestehender Benutzeraccount kann ausreichen — mehr braucht ein Angreifer laut aktuellem Advisory nicht, um aus einer beliebten Elementor-Erweiterung eine Einfallstür in Ihre WordPress-Installation zu machen. Das Advisory WID-SEC-2026-2859 beschreibt mehrere Schwachstellen im Plugin „Royal Elementor Addons": Ein entfernter, authentifizierter Angreifer kann sie ausnutzen, um Server-Side-Request-Forgery- (SSRF) und Cross-Site-Scripting-Angriffe (XSS) durchzuführen. Eine Mindestrechte-Angabe fehlt im Advisory — es ist also nicht auszuschließen, dass bereits ein einfacher Autoren- oder Mitwirkenden-Account genügt, kein Administrator-Zugang und kein Insiderwissen über die Installation.

Was ist passiert?

Royal Elementor Addons gehört zu den verbreiteten Erweiterungspaketen für den Elementor-Page-Builder und bringt zusätzliche Widgets, Layout-Bausteine und Vorlagen in WordPress-Installationen. Das Advisory listet mehrere Schwachstellen im Plugin, die ein authentifizierter Angreifer aus der Ferne ausnutzen kann. Zwei Angriffskategorien sind explizit genannt: SSRF und XSS.

Page-Builder-Erweiterungen wie diese zählen zu den am weitesten verbreiteten WordPress-Plugins überhaupt — sie kombinieren umfangreichen Funktionsumfang mit häufigen Updates, was die Angriffsfläche strukturell größer macht als bei kleineren, fokussierten Plugins. Ein einzelnes verwundbares Widget kann so ausreichen, um die gesamte Installation zu gefährden, unabhängig davon, wie sorgfältig das WordPress-Kernsystem selbst gepflegt wird.

Was ist belegt?

Für SSRF bedeutet das konkret: Das Plugin lässt sich dazu bringen, HTTP-Anfragen im Namen des Servers an Ziele zu senden, die der Angreifer bestimmt — etwa an interne Dienste, die von außen eigentlich nicht erreichbar sein sollen. Für XSS bedeutet es: Schadcode wird in Seiten der Installation eingeschleust und im Browser anderer Nutzer ausgeführt, etwa um Sitzungen zu kapern oder Administratoren zu Aktionen zu verleiten. Beide Kategorien sind im Advisory benannt; eine genaue Zuordnung zu einzelnen CVE-Nummern liegt öffentlich derzeit nicht vor.

Was ist derzeit unklar?

Offen bleibt, welche Mindestrechte ein Account für die Ausnutzung tatsächlich braucht, ob bereits ein fehlerbereinigtes Plugin-Update verfügbar ist und wie viele Installationen betroffen sind. Bei aktiv gepflegten Page-Builder-Erweiterungen erscheinen Sicherheitsupdates in der Regel innerhalb weniger Tage bis Wochen nach Bekanntwerden — eine Garantie ist das jedoch nicht, insbesondere solange der Hersteller die Meldung noch prüft. Royal Elementor Addons ist nach öffentlich verfügbaren Angaben ein Freemium-Plugin — eine kostenlose Version im offiziellen WordPress-Verzeichnis, ergänzt um eine kostenpflichtige Pro-Variante mit erweitertem Funktionsumfang.

Welche praktischen Auswirkungen ergeben sich?

Wer Elementor mit dieser Erweiterung betreibt, sollte das Risiko nicht an der Admin-Rolle festmachen. Gerade auf Websites mit mehreren Autoren, Redakteuren oder externen Mitwirkenden — etwa Agenturen, die mit Kundenzugängen arbeiten, oder Blogs mit offener Registrierung — ist die Voraussetzung „authentifiziert" schneller erfüllt, als der Begriff vermuten lässt. Ein kompromittiertes Autoren-Passwort reicht dann potenziell aus, um SSRF- oder XSS-Angriffe zu starten.

Was Sie jetzt prüfen sollten: Aktualisieren Sie Royal Elementor Addons auf die aktuelle Version, sobald der Hersteller einen Patch veröffentlicht — kontrollieren Sie dazu regelmäßig das Plugin-Änderungsprotokoll in Ihrem WordPress-Backend. Prüfen Sie zusätzlich, wer auf Ihrer Installation über einen aktiven Account verfügt, und entfernen Sie nicht mehr benötigte Zugänge. Schränken Sie Autoren- und Mitwirkenden-Rechte wo möglich auf das Nötigste ein, statt sie dauerhaft offen zu lassen. Wer schnelles Patchen nicht garantieren kann, sollte in der Zwischenzeit prüfen, ob eine Web Application Firewall oder ein Sicherheits-Plugin bekannte SSRF- und XSS-Muster für Elementor-Erweiterungen bereits abdeckt — das ersetzt kein Update, verschafft aber Zeit.

Quellen: CERT-Bund — „WP Royal Royal Elementor Addons: Mehrere Schwachstellen“ (WID-SEC-2026-2859) (https://wid.cert-bund.de/portal/wid/securityadvisory?name=WID-SEC-2026-2859)