Sicherheits-Bulletin vom 21. Juli 2026: Zwei Stored-XSS-Lücken in Plugins mit Millionen Installationen — WPForms und Essential Addons for Elementor (CVE-2026-15782 & CVE-2026-15156)

Dies ist unser täglicher Sicherheits-Überblick, in dem wir die veröffentlichten Schwachstellen sichten und jene herausgreifen, die für den Betrieb von WordPress-Websites, Online-Shops und PHP-Anwendungen tatsächlich von Bedeutung sind. Jede Angabe ist gegen die zugrunde liegende Primärquelle geprüft und am Ende des jeweiligen Abschnitts verlinkt. Nach der turbulenten Woche rund um die Kernlücken-Kette „wp2shell” fällt der 21. Juli deutlich ruhiger aus: Die beiden heute frisch veröffentlichten Einträge sind keine anmeldungsfreien Katastrophen, sondern zwei Stored-Cross-Site-Scripting-Lücken mittleren Schweregrades. Sie haben dennoch eines gemeinsam, das sie relevant macht — sie stecken in Erweiterungen, die auf mehreren Millionen Websites laufen, und sie lassen sich bereits aus einem einfachen Beitragenden-Konto (Contributor) heraus auslösen. Genau darin liegt die wiederkehrende Lehre: Auf einer Website mit mehreren Autoren ist „Beitragender” keine vertrauenswürdige Rolle, sondern eine Angriffsfläche. Für beide Lücken liegt bereits eine korrigierte Version vor.

Stored-XSS in WPForms über die OptinMonster-Anbindung (CVE-2026-15782)

Der Formular-Baukasten WPForms — hier in der Ausprägung AI Form Builder — zählt mit mehr als fünf Millionen aktiven Installationen zu den meistgenutzten WordPress-Plugins überhaupt. In allen Fassungen bis einschließlich Version 2.0.0.1 bereinigt und maskiert das Plugin einen Wert aus seiner OptinMonster-Anbindung nicht ausreichend, bevor er als data-sitekey-Attribut in den Beitragsinhalt geschrieben wird. Ein angemeldeter Nutzer mit Beitragenden-Rechten oder höher kann darüber eigenes Skript-Markup hinterlegen, das später im Browser jedes Besuchers ausgeführt wird, der die betroffene Seite aufruft. Mit CVSS 4.9 fällt der Schweregrad moderat aus, und die Lücke ist an eine Voraussetzung gebunden: Sie greift nur, wenn zusätzlich das OptinMonster-Plugin aktiv ist und eine laufende Inline-Kampagne das entsprechende Lade-Ereignis auslöst. Auf Websites, auf denen mehrere Personen Inhalte einstellen, bleibt sie trotzdem ein realer Weg, um Skriptcode in den Sitzungskontext eines Administrators zu tragen. Die korrigierte Version 2.0.0.2 schließt das Problem; wer eine ältere Fassung betreibt, sollte aktualisieren.

Quellen: NVD — CVE-2026-15782 · WordPress.org — WPForms

Stored-XSS in Essential Addons for Elementor über eine Farb-Einstellung (CVE-2026-15156)

Essential Addons for Elementor ist eine der verbreitetsten Widget-Sammlungen für den Elementor-Seitenbauer und läuft auf über zwei Millionen Websites. In allen Versionen bis einschließlich 6.6.11 maskiert das Plugin den Wert der globalen Farb-Einstellung des „Reading Progress”-Elements nicht ausreichend, bevor er ausgegeben wird. Auch hier genügt ein Konto mit Beitragenden-Rechten oder höher, um über dieses vermeintlich harmlose Konfigurationsfeld Skript-Markup einzuschleusen, das anschließend bei jedem Seitenaufruf im Browser der Besucher ausgeführt wird. Der Schweregrad liegt bei CVSS 6.4 — etwas höher als beim WPForms-Fall, weil die Lücke die Grenze zwischen Nutzer- und Administrator-Kontext überschreiten kann (der Vektor weist einen Wechsel des Sicherheitsbereichs aus). Bemerkenswert ist, wie unscheinbar der Angriffsweg ist: Eine Einstellung, die eigentlich nur eine Farbe festlegen soll, wird zum Träger für ausführbaren Code. Die Entwickler haben den Fehler in Version 6.7.0 behoben.

Quellen: NVD — CVE-2026-15156 · WordPress.org — Essential Addons for Elementor

Unsicher, ob Sie betroffen sind? Sprechen Sie uns an.

---

Dieser Hinweis dient der Sicherheits-Aufklärung. Maßgeblich sind stets die offiziellen Hinweise des jeweiligen Herstellers sowie die oben verlinkten Quellen.