Elementor Pro & rtMedia: mehrere kritische Sicherheitslücken (CVE-2026-32475, CVE-2026-66592)
This text was generated using artificial intelligence (AI).Update 20.08.2026: Zusätzlich wurde CVE-2026-66592 (CVSS 9.3) bekannt, eine unauthentifizierte SQL Injection im WordPress-Plugin rtMedia for WordPress, BuddyPress and bbPress bis einschließlich Version 4.7.11. Details siehe unten.
Für das WordPress-Plugin Elementor Pro wurde am 19. August 2026 die Schwachstelle CVE-2026-32475 veröffentlicht. Sie betrifft Elementor Pro bis einschließlich Version 4.2.1. Patchstack beschreibt einen unauthentifizierten Datei-Upload im Forms-Modul, über den eine PHP-Datei abgelegt und Code ausgeführt werden kann. Entdeckt wurde die Schwachstelle von Tin Pham (alias TF1T) im Rahmen des Patchstack-Bug-Bounty-Programms.
Der gemeldete CVSS-Wert beträgt 9.0. Inhaltlich handelt es sich um einen unkontrollierten Upload von Dateien mit gefährlichem Typ, also um die Schwachstellenklasse CWE-434. Die Zeitleiste im Advisory nennt den 16. Juli 2026 als Meldedatum; die korrigierte Version erschien gut einen Monat später.
Wie der Datei-Upload umgangen wird (CVE-2026-32475)
Nach Angaben von Patchstack liegt der Fehler in der Verarbeitung von Datei-Uploads im Forms-Modul. Die Prüfung der Dateiendung und das Verschieben der hochgeladenen Datei erfolgen in getrennten Verarbeitungsschritten.
Ein Angreifer kann zwei Datei-Parts für dasselbe Formularfeld übermitteln. Leere Dateieinträge werden in den beiden Verarbeitungsschritten unterschiedlich behandelt. Dadurch kann die vorgesehene Blockliste für Dateiendungen umgangen werden. Eine PHP-Datei kann anschließend in ein öffentliches Verzeichnis geschrieben werden.
Patchstack nennt als Zielverzeichnis wp-content/uploads/elementor/forms/. Der Dateiname wird dort von der PHP-Funktion uniqid() erzeugt und besteht aus 13 Hex-Zeichen: acht kodieren die Unix-Sekunde des Uploads, fünf die Mikrosekunden. Patchstack dokumentiert diese Struktur, weil ein Angreifer die abgelegte Datei anschließend gezielt aufrufen muss, um den enthaltenen Code auszuführen.
Für die Ausnutzung ist keine Anmeldung erforderlich, sofern auf der betroffenen WordPress-Seite mindestens ein öffentlich zugängliches Elementor-Formular mit aktiviertem Datei-Upload-Feld vorhanden ist — laut Patchstack eine häufige Konfiguration, etwa bei Bewerbungsformularen oder Support-Formularen. Die Schwachstelle kann dadurch zu Code-Ausführung auf einem betroffenen System führen.
Unauthentifizierte SQL Injection in rtMedia (CVE-2026-66592)
CVE-2026-66592 betrifft das WordPress-Plugin rtMedia for WordPress, BuddyPress, and bbPress bis einschließlich Version 4.7.11. Die Schwachstelle ermöglicht einem nicht angemeldeten Angreifer, SQL-Befehle in die Datenbank einzuschleusen. Der CVSS-Wert beträgt 9.3 (kritisch). Der Angriffsvektor ist netzwerkbasiert, erfordert keine Authentifizierung und keine Nutzerinteraktion.
Laut Patchstack-Datenbank kann die Schwachstelle zur Offenlegung vertraulicher Daten aus der WordPress-Datenbank führen und unter bestimmten Umständen die Verfügbarkeit der Anwendung beeinträchtigen. Die korrigierte Version 4.7.12 wurde am 20. August 2026 veröffentlicht.
Operative Relevanz: Warum diese Lücken priorisiert werden sollten
Die Voraussetzungen für einen Angriff sind bei beiden Schwachstellen niedrig. Es braucht keine Zugangsdaten, keine Vorbedingung auf Nutzerseite und keine Interaktion eines Mitarbeitenden. Bei CVE-2026-32475 genügt eine veröffentlichte Seite mit einem Elementor-Formular, das ein Upload-Feld enthält. Bei CVE-2026-66592 ist lediglich eine Installation des rtMedia-Plugins erforderlich. Genau diese Konstellationen lassen sich von außen automatisiert über viele Domains hinweg erkennen. Patchstack hat die Umgehungsmechanismen am 19. bzw. 20. August öffentlich im Detail beschrieben; das Zeitfenster zwischen Patch und breitem Scannen ist bei solchen Lücken erfahrungsgemäß kurz.
Hinzu kommt, wo Elementor Pro und rtMedia typischerweise im Einsatz sind: auf Unternehmenswebsites, Kampagnen-Landingpages, Karriereseiten, Community-Plattformen und Produktmikrosites. Diese Auftritte entstehen häufig in Marketingprojekten oder bei externen Dienstleistern und laufen unter eigenen Domains oder Subdomains, ohne im zentralen IT-Inventar geführt zu werden. Für die Sicherheitsorganisation heißt das: Die betroffene Software steht möglicherweise auf Systemen, die in der Patch-Planung gar nicht vorkommen, und die Zuständigkeit dafür ist im Zweifel nicht sofort geklärt.
Ein Bewerbungs- oder Support-Formular mit Upload-Feld ist dabei kein Randfall, sondern auf genau diesen Seiten der Regelfall. Gelingt der Upload bei CVE-2026-32475, führt der Angreifer Code im Kontext des Webservers aus. Bei CVE-2026-66592 kann ein Angreifer direkt auf die Datenbank zugreifen. Ab diesem Punkt geht es nicht mehr um eine Website, sondern um einen Zugang zum darunterliegenden System und zu den dort verarbeiteten Daten.
Betroffene Installationen aktualisieren
Elementor Pro 4.2.2 behebt CVE-2026-32475. rtMedia 4.7.12 behebt CVE-2026-66592. Organisationen sollten bekannte Installationen auf die korrigierten Versionen oder höher aktualisieren.
Nach dem Update sollten WordPress-Seiten auf nicht autorisierte Datei-Uploads in Elementor-Formularen geprüft werden. Relevant sind insbesondere Dateien in den Formular-Upload-Bereichen, deren Herkunft oder Zweck nicht nachvollziehbar ist. Bei rtMedia-Installationen sollten Datenbank-Logs auf ungewöhnliche Abfragen geprüft werden, die auf eine erfolgreiche SQL Injection hindeuten könnten.
Darüber hinaus sind folgende Maßnahmen empfehlenswert:
strengere Validierung von Datei-Uploads,
Monitoring von Upload-Vorgängen,
Prüfung von Elementor-Formularen auf nicht autorisierte Uploads,
Überwachung von Datenbank-Zugriffen auf Anomalien.
Meldepflichten, falls ein Angriff erfolgreich war
Für Betreiber von WordPress-Angeboten mit EU-Personenbezug gilt: Gelingt ein Angriff und werden dabei personenbezogene Daten kompromittiert, besteht gemäß Art. 33 DSGVO eine Meldepflicht gegenüber der zuständigen Aufsichtsbehörde innerhalb von 72 Stunden. Organisationen in Deutschland und Österreich, die unter NIS-2 bzw. das österreichische NISG fallen, sollten zudem prüfen, ob der Vorfall ihre Meldepflichten nach dem jeweiligen nationalen Umsetzungsrecht auslöst. Das BSI empfiehlt grundsätzlich, öffentlich erreichbare Webanwendungen zeitnah auf verfügbare Sicherheitsupdates zu prüfen.
CVE-2026-32475 und CVE-2026-66592 betreffen Webanwendungen, die unter eigenen Domains und Subdomains betrieben werden. Die erste Frage bei solchen Meldungen lautet deshalb nicht, ob die Version gepatcht ist, sondern wo die Software überhaupt läuft.
Genau dort setzt External Attack Surface Management an. LocateRisk erfasst kontinuierlich, welche Systeme und Webanwendungen unter den eigenen Domains öffentlich erreichbar sind und welche Software sich von außen erkennen lässt. Damit werden auch Webauftritte sichtbar, die außerhalb zentral gepflegter Inventare betrieben werden, und die Zuordnung zu den verantwortlichen Teams wird zur Frage von Minuten statt von Tagen. Wie eine solche Bestandsaufnahme methodisch abläuft, beschreibt unser Überblick zum Attack Surface Assessment.
Die technische Sichtbarkeit ersetzt weder das Update auf Elementor Pro 4.2.2 bzw. rtMedia 4.7.12 noch die Prüfung der Uploads und Datenbank-Logs. Sie beantwortet die vorgelagerte Frage: Welche Systeme gehören überhaupt in die Patch-Liste, und wer muss dafür tätig werden.
Am I affected?
Betroffen sind Elementor Pro bis 4.2.1 und rtMedia bis 4.7.11; behoben wurden die Schwachstellen in 4.2.2 bzw. 4.7.12. Wer wissen will, ob Elementor Pro oder rtMedia in der eigenen extern erreichbaren Infrastruktur überhaupt sichtbar sind, kann den CVE Quick Check Use the tool at the end of this article: It shows exposed systems and the software that is visible from the outside.
Die konkret installierte Version lässt sich von außen nicht in jedem Fall bestimmen — ausschlaggebend ist der Abgleich mit den Hersteller-Advisories.
CVE-2026-32475 ist eine kritische Schwachstelle im WordPress-Plugin Elementor Pro, die es einem nicht angemeldeten Angreifer erlaubt, eine PHP-Datei über das Forms-Modul in ein öffentlich erreichbares Verzeichnis hochzuladen und dort Code auszuführen. Der CVSS-Wert beträgt 9.0.
CVE-2026-66592 ist eine kritische SQL-Injection-Schwachstelle im WordPress-Plugin rtMedia for WordPress, BuddyPress and bbPress. Sie ermöglicht einem nicht angemeldeten Angreifer, SQL-Befehle in die Datenbank einzuschleusen und vertrauliche Daten offenzulegen. Der CVSS-Wert beträgt 9.3.
Betroffen sind alle Versionen von Elementor Pro bis einschließlich 4.2.1 und rtMedia bis einschließlich 4.7.11. Version 4.2.2 von Elementor Pro (veröffentlicht am 19. August 2026) behebt CVE-2026-32475. Version 4.7.12 von rtMedia (veröffentlicht am 20. August 2026) behebt CVE-2026-66592. Betroffene Installationen sollten umgehend auf diese Versionen oder höher aktualisiert werden.
Laut Patchstack muss auf der betroffenen WordPress-Seite mindestens ein öffentlich zugängliches Elementor-Formular mit aktiviertem Datei-Upload-Feld vorhanden sein. Eine Anmeldung ist für die Ausnutzung nicht erforderlich.
Das Advisory von Patchstack nennt ausschließlich Elementor Pro und bezieht die Versionsangaben auf dieses Plugin. Das betroffene Datei-Upload-Feld im Forms-Modul gehört zum Funktionsumfang der kostenpflichtigen Version. Maßgeblich für die eigene Bewertung ist die in der jeweiligen Installation eingesetzte Elementor-Pro-Version.
Stand: 20.08.2026. Dieser Beitrag dient allgemeinen Informationszwecken und ist keine Rechts-, Sicherheits- oder Handlungsberatung im Einzelfall. Sicherheitslage und Patch-Verfügbarkeit können sich seit der Veröffentlichung geändert haben; maßgeblich ist stets das verlinkte Hersteller-Advisory. Trotz sorgfältiger Recherche übernehmen wir keine Gewähr für Aktualität, Richtigkeit und Vollständigkeit.
CVE Quick Check
In just a few minutes, check whether there are any indications of a current CVE on your externally visible attack surface.
A rough estimate in just a few minutes via email.
Learn more during a free consultation with a LocateRisk consultant.
You'll receive this by email
companyYour Company, LLC
Verified CVECVE-2024-3094
Passive Assessment
Information About the CVENotes found
Want to find out more, book a demo or simply exchange ideas? We look forward to hearing from you!
We use cookies to optimize our website and our service.
Functional
Always active
Technical storage or access is strictly necessary for the lawful purpose of enabling the use of a particular service expressly requested by the subscriber or user, or for the sole purpose of carrying out the transmission of a message over an electronic communications network.
Preferences
The technical storage or access is necessary for the legitimate purpose of storing preferences that have not been requested by the subscriber or user.
Statistics
The technical storage or access, which is carried out exclusively for statistical purposes.Technical storage or access used solely for anonymous statistical purposes. Without a subpoena, the voluntary consent of your Internet service provider, or additional records from third parties, information stored or accessed for this purpose alone generally cannot be used to identify you.
Marketing
Technical storage or access is necessary to create user profiles, to send advertisements, or to track the user on a website or across multiple websites for similar marketing purposes.
English 
Deutsch 
Français