O vulnerabilitate din Elementor Pro ar putea permite încărcarea de fișiere PHP și executarea de cod

Specialiștii din domeniul securității cibernetice au dezvăluit detalii despre o vulnerabilitate critică din pluginul Elementor Pro pentru WordPress care, dacă ar fi exploatată cu succes, ar putea duce la executarea de cod de la distanță.

Vulnerabilitatea, identificată ca CVE-2026-32475, are un scor CvSS de 9.0/10. Aceasta a fost descrisă ca o eroare de upload fără restricții al unui fișier malițios.

Vulnerabilitatea se află în câmpul «Încărcare fișier» al modulului Forms, unde verificarea extensiei și etapa de mutare a fișierului se execută în două bucle separate, cu moduri diferite de gestionare a fișierelor goale, au semnalat specialiștii.

Prin trimiterea a două părți de fișier pentru același câmp, un atacator neautentificat ocolește complet lista de blocare a extensiilor și scrie un fișier PHP într-un director public, au precizat aceștia.

Această discrepanță în modul în care se validează extensia fișierului și se mută fișierul încărcat într-un director public atunci când sunt procesate fișiere goale transformă un câmp de încărcare a fișierelor restricționat într-o vulnerabilitate care permite executarea de cod la distanță fără autentificare.

Exploatarea cu succes a acestei vulnerabilități ar putea permite unui atacator să încarce fișiere arbitrare, inclusiv scripturi PHP, care ar putea fi apoi utilizate pentru a executa cod de la distanță pe sistemele afectate. Vulnerabilitatea afectează toate versiunile pluginului anterioare versiunii 4.2.1, inclusiv aceasta.

Compania de securitate WordPress a transmis că singura condiție necesară pentru a lansa un atac este ca site-ul vizat să aibă cel puțin o pagină Elementor publicată care să conțină un widget Formular cu un câmp de încărcare a fișierelor. Fișierul încărcat este denumit wp-content/uploads/elementor/forms/<uniqid>.php, unde <uniqid> este rezultatul funcției uniqid() din PHP.

După ce vulnerabilitatea a fost semnalată către Elementor Pro, a fost lansat un patch prin versiunea 4.2.2.

Utilizatorilor WordPress li se recomandă să-și mențină site-urile și pluginurile la zi, să verifice dacă există modificări neautorizate care generează redirecționări neașteptate sau ferestre pop-up și să le verifice pentru a depista conturi și pluginuri necunoscute.

Sursă: https://thehackernews.com/2026/08/elementor-pro-flaw-could-let.html