Elementor 4.3.2: CSRF-Lücke erzeugt Admin-Konten per Link, bis zu zwei Millionen Sites betroffen

Elementor hat am 24. September Version 4.3.2 veröffentlicht und schließt damit eine kritische CSRF-Lücke im Editor-Events-Modul. Betroffen sind die Versionen 4.3.0 und 4.3.1, in dieser Fensterspanne laufen laut Patchstack bis zu zwei Millionen Websites. Ein einziger Link, den ein eingeloggter Administrator öffnet, genügt, damit Angreifer im Namen dieses Kontos einen neuen Administrator anlegen können.

Die Lücke trägt die Kennung CVE-2026-62062 und ist mit CVSS 8.8 als hoch eingestuft. Der Sicherheitsforscher, der unter dem Namen Saggre auftritt, hatte die Schwachstelle am 22. September über Patchstack gemeldet, zwei Tage später lag der Patch vor, die technischen Details wurden am 25. September öffentlich (Bleeping Computer, Patchstack).

Der Angriffsweg ist trivial. Weder JavaScript noch ein manipuliertes Formular sind nötig, die Zustellung geht per E-Mail, per Chat oder per Website-Kommentar. Öffnet ein eingeloggter Administrator den präparierten Link, führt der Browser jede REST-Aktion aus, die das Konto erlaubt, darunter das Anlegen weiterer Administratoren, das Umkonfigurieren des Systems oder das Installieren zusätzlicher Plugins.

Warum der Bypass so tief sitzt

Der Fehler steckt in einer optimistisch gedachten Ausnahme. Das Editor-Events-Modul wollte seine eigenen Tracking-Endpunkte von der Nonce-Prüfung ausnehmen und prüfte dazu mit einer offenen strpos-Suche, ob die Zeichenkette „elementor/v1/events/“ irgendwo im Request-URI vorkommt. Weil die Prüfung im Filter rest_authentication_errors läuft, also bevor WordPress die eigentliche Route auflöst, bleibt als Grundlage nur die roh vom Angreifer gesteuerte Query-Zeile.

Damit reicht ein Aufruf wie /wp-json/wp/v2/users?x=elementor/v1/events/, um die Nonce-Prüfung an jeder REST-Schnittstelle zu umgehen. Ohne den angehängten Parameter antwortet der Server erwartungsgemäß mit rest_cannot_create_user und HTTP 401, mit dem Parameter kommt HTTP 201 zurück, also ein erfolgreich angelegtes Konto (Patchstack).

Die zweite Schicht des Bugs verstärkt den Schaden. Das Modul gab in seinem Filter den Wert true zurück. In WordPress bedeutet das nicht „Kein Fehler“, sondern „Authentifizierung ist bereits erledigt“. Damit deaktiviert die vermeintliche Ausnahme die einzige zentrale CSRF-Absicherung des REST-Stacks komplett, für alle Endpunkte gleichzeitig.

Was heute konkret zu tun ist

Wer Elementor 4.3.0 oder 4.3.1 einsetzt, sollte den Patch heute einspielen; Version 4.3.2 schließt die Lücke. Agenturen mit vielen Kundenseiten prüfen am schnellsten per WP-CLI, welche Installationen betroffen sind, und rollen das Update dann gebündelt aus.

Neben dem Update lohnt ein Blick in die WordPress-Nutzerliste, ob in den vergangenen Tagen unerwartete Administrator-Konten angelegt wurden. Eine bestätigte aktive Ausbeutung gibt es zum Zeitpunkt der Meldung nicht, mit Freigabe der Details steigt das Risiko allerdings deutlich. Für Webdesign-Agenturen, die Kunden-Sites betreuen, wird daraus eine typische Wartungs-Runde: Version prüfen, Update ausrollen, Nutzerliste kontrollieren, Kunden informieren.

Die Lücke betrifft ausdrücklich das kostenlose Elementor-Plugin und ist unabhängig von der Anfang September gemeldeten Datei-Upload-Lücke in Elementor Pro. Wer Pro einsetzt, sollte zusätzlich prüfen, ob Elementor Pro 4.2.2 oder neuer läuft.