Twee Stored XSS-kwetsbaarheden ontdekt in Elementor Website Builder (CVE-2026-81812, CVE-2026-81813)

Wat is er gebeurd

Op dezelfde dag zijn twee afzonderlijke CVE's gepubliceerd voor de Elementor Website Builder-plugin. CVE-2026-81812 beschrijft dat geüploade SVG-bestanden niet op elke uploadroute worden gesaniteerd, waardoor gebruikers met de rol Auteur of hoger een bestand met JavaScript kunnen uploaden dat wordt uitgevoerd in de browser van iedereen die het opent. CVE-2026-81813 beschrijft een gerelateerd maar afzonderlijk probleem: Elementor controleert wel de elementen en attributen van SVG-bestanden, maar niet de tekstinhoud, waardoor gebruikers met de rol Medewerker of hoger een payload kunnen opslaan die 'uitbreekt' en wordt uitgevoerd wanneer de SVG inline op een pagina wordt weergegeven.

Technische oorzaak

Beide kwetsbaarheden zijn geclassificeerd als CWE-79 (Cross-Site Scripting) en zijn het gevolg van onvolledige sanitatie van SVG-bestanden in Elementor Website Builder vóór versie 4.3.5. CVE-2026-81812 ontstaat doordat de plugin geüploade SVG-bestanden niet consistent sanitiseert op alle uploadroutes. CVE-2026-81813 ontstaat doordat de plugin alleen de elementen en attributen van SVG-bestanden valideert, terwijl de tekstinhoud ongesaniteerd blijft, waardoor een speciaal geconstrueerde payload kan 'uitbreken' zodra de SVG inline wordt weergegeven. Opvallend is dat misbruik van CVE-2026-81813 specifiek is voor Chromium-gebaseerde browsers; Firefox wordt niet beïnvloed volgens de beschikbare gegevens.

Wie wordt getroffen

Websites met de WordPress-plugin Elementor Website Builder vóór versie 4.3.5 zijn kwetsbaar. Voor CVE-2026-81812 is een geauthenticeerde gebruiker met de rol Auteur of hoger vereist, én moet de instelling 'ongefilterde bestandsuploads' in de plugin zijn ingeschakeld — dit is niet de standaardconfiguratie. Voor CVE-2026-81813 is een geauthenticeerde gebruiker met de rol Medewerker of hoger vereist, en is succesvolle uitvoering beperkt tot bezoekers die een Chromium-gebaseerde browser gebruiken.

Getroffen versies

Beide kwetsbaarheden treffen versies van Elementor Website Builder vóór 4.3.5. Het feitenpakket vermeldt niet expliciet of versie 4.3.5 zelf de oplossing voor deze specifieke problemen bevat; deze versie wordt alleen genoemd als grensversie in de gegevens over getroffen bereiken. Sitebeheerders doen er goed aan de patchstatus rechtstreeks bij de leverancier te verifiëren.

Oplossingen en mitigatie

Volgens het feitenpakket is er momenteel geen bevestigde fix beschikbaar voor beide kwetsbaarheden (fix_available staat op false voor beide CVE's), ondanks dat versie 4.3.5 wordt genoemd als grens in de gegevens over getroffen bereiken. Dit is een inconsistentie in de beschikbare informatie, en we kunnen niet bevestigen of er een gepatchte release bestaat of op komst is. Als mitigatie kunnen sitebeheerders de instelling 'ongefilterde bestandsuploads' in Elementor controleren en waar nodig uitschakelen, en de toewijzing van de rollen Auteur en Medewerker beperken tot vertrouwde gebruikers om de blootstelling te verminderen.

Aanbevolen actie

Beheerders van sites met Elementor Website Builder wordt geadviseerd de huidige versie van de plugin te controleren en de officiële changelog van de leverancier te raadplegen ter bevestiging van een beveiligingsfix, aangezien dit feitenpakket geen opgeloste versie bevestigt. Zorg er in de tussentijd voor dat de instelling 'ongefilterde bestandsuploads' uitgeschakeld blijft (de standaardinstelling) en beperk toegang op het niveau Auteur/Medewerker tot vertrouwd personeel, aangezien beide kwetsbaarheden afhankelijk zijn van deze verhoogde rollen om te kunnen worden misbruikt.