Nel plugin WordPress Elementor Pro è stata scoperta una vulnerabilità critica di caricamento di file senza restrizioni sul tipo, identificata come CVE-2026-32475. Interessa Elementor Pro versione 4.2.1 e le versioni precedenti.
La vulnerabilità è legata a un errore nella validazione del caricamento dei file nelle funzioni process_field e Upload::validation(). In determinate condizioni il processo di validazione si interrompe troppo presto, per cui le estensioni e i tipi MIME degli altri file caricati non vengono controllati.
Ciò può consentire a un attaccante non autenticato di caricare un file potenzialmente eseguibile, aggirando le restrizioni sui tipi di file consentiti dal sito. A seconda della configurazione del server e delle possibilità di esecuzione del file caricato, un simile attacco può portare all’esecuzione di codice remoto e alla compromissione totale del sito WordPress.
Quali siti sono a rischio?
La vulnerabilità può essere sfruttata nei siti in cui:
- viene utilizzato il widget Form di Elementor Pro;
- nel modulo è configurato un campo per il caricamento di file;
- il campo per il caricamento di file non è impostato come obbligatorio.
Occorre controllare con particolare attenzione i siti in cui i visitatori possono caricare documenti, immagini o altri file.
Cosa devono fare gli amministratori del sito?
- Aggiornate Elementor Pro all’ultima versione disponibile il prima possibile.
- Verificate che sul sito non ci siano file sconosciuti o sospetti.
- Esaminate i log del server web e di WordPress, prestando attenzione a richieste di caricamento insolite.
- Controllate gli account utente di WordPress ed eliminate gli amministratori sconosciuti o altri account sospetti.
- Se il sito potrebbe essere stato oggetto di un attacco, cambiate le password degli amministratori e controllate le chiavi API, i token di accesso e altri segreti.
- Se emergono segni di compromissione, isolate il sito e rivolgetevi a uno specialista di sicurezza.
Gli utenti di Elementor Pro non dovrebbero affidarsi solo ai controlli sulle estensioni dei file. Per una protezione aggiuntiva si consiglia di limitare i tipi di file caricabili, evitare di conservare file eseguibili in cartelle accessibili pubblicamente e utilizzare le versioni più recenti di WordPress, dei plugin e del software del server.
Fonte: CERT.LV comunicato
Ulteriori informazioni: analisi di Patchstack