// LINUX-MAGAZIN — LINUX & OPEN SOURCE
Kritische Elementor-Pro-Lücke gefährdet Millionen WordPress-Websites
Eine gravierende Schwachstelle in Elementor Pro kann Angreifern die vollständige Kontrolle über verwundbare WordPress-Websites ermöglichen. Aufgrund der großen Verbreitung des Plug-ins ist das mögliche Ausmaß beträchtlich.
Elementor Pro kommt auf schätzungsweise mehr als sechs Millionen aktive Installationen. Für einen Angriff sind weder ein Benutzerkonto noch zuvor erbeutete Zugangsdaten erforderlich. Stattdessen können Angreifer eine fehlerhafte Prüfung beim Hochladen von Dateien ausnutzen und dadurch ausführbare Dateien auf dem Webserver platzieren.
Der Angriff setzt allerdings voraus, dass auf der Website ein mit Elementor Pro erstelltes Formular veröffentlicht wurde, das ein nicht verpflichtendes Feld zum Hochladen von Dateien enthält. Genau bei der Verarbeitung solcher Uploads liegt der entscheidende Fehler. Das Plug-in kann mehrere Dateien innerhalb eines Upload-Feldes verarbeiten und kontrolliert sie in der Regel nacheinander. Trifft die Prüfung bei einem nicht verpflichtenden Upload-Feld auf einen leeren ersten Eintrag, wird die Kontrolle der nachfolgenden Dateien vorzeitig beendet. Eigentlich dürfte lediglich der leere Eintrag übersprungen werden. Stattdessen werden weitere Dateien in diesem Upload-Vorgang nicht mehr hinsichtlich ihres Dateityps, ihrer Endung und ihrer zulässigen Größe überprüft.
Angreifer können dieses Verhalten gezielt provozieren. Dazu wird der Upload so präpariert, dass zunächst ein leerer Eintrag verarbeitet wird und anschließend eine manipulierte Datei folgt. Während die Sicherheitsprüfung nach dem ersten Eintrag abbricht, verarbeitet Elementor Pro die anschließend übermittelte Datei dennoch weiter. Besonders gefährlich ist, dass die Dateiendung aus dem vom Angreifer vorgegebenen Dateinamen übernommen wird. Auf diese Weise kann beispielsweise eine PHP-Datei im Upload-Verzeichnis der Website gespeichert werden. Ist die hochgeladene Datei anschließend im Web erreichbar, lässt sich der darin enthaltene PHP-Code auf dem Server ausführen. Damit kann ein Angreifer Schadcode installieren und letztlich die gesamte Website kompromittieren.
Mit Elementor Pro 4.2.2 steht seit dem 19. August 2026 eine neue Version zur Verfügung, in der die Sicherheitslücke behoben wurde.
In einem längeren Essay beschäftigt sich Bill Gates mit den Gefahren und Errungenschaften der KI und fordert ihre Regulierung.
Der LinuxDay Vorarlberg findet am 26. September 2026 in Dornbirn statt. Die jährliche Veranstaltung richtet sich an Interessierte an Linux, freier Software und Open-Source-Technologien.
The Document Foundation (TDF) hat LibreOffice 26.8 veröffentlicht. Die neue Hauptversion der freien Office-Suite steht für Linux, Windows und MacOS in mehr als 120 Sprachen zur Verfügung.
Kubernetes 1.37 bringt insgesamt 67 Änderungen mit. Davon erreichen 16 Funktionen den Stable-Status, 23 wechseln in die Beta-Phase und 27 kommen als Alpha-Funktionen hinzu.
IBM hat eine neue Version seiner Open-Source-Sprachmodelle der Granite-Familie vorgestellt. Die Modelle der Version 4.2 sind in Ausprägungen mit 3, 8 und 30 Milliarden Parametern unter der Apache-2.0-Lizenz verfügbar.