We wtyczce Elementor Pro dla WordPress wykryto krytyczną podatność umożliwiającą przesyłanie plików nieograniczonego typu, oznaczoną identyfikatorem CVE-2026-32475. Dotyczy ona Elementor Pro w wersji 4.2.1 i starszych.
Podatność wynika z błędu walidacji przesyłanych plików w funkcjach process_field i Upload::validation(). W określonych warunkach proces walidacji kończy się zbyt wcześnie, przez co pozostałe przesłane pliki nie są sprawdzane pod kątem rozszerzeń i typów MIME.
Pozwala to nieuwierzytelnionemu atakującemu przesłać potencjalnie wykonywalny plik z pominięciem ograniczeń dotyczących dozwolonych typów plików na stronie. W zależności od konfiguracji serwera i możliwości wykonania przesłanego pliku taki atak może doprowadzić do zdalnego wykonania kodu i całkowitego przejęcia strony WordPress.
Które strony są zagrożone?
Podatność może zostać wykorzystana na stronach, na których:
- używany jest widżet formularza Elementor Pro;
- w formularzu skonfigurowano pole przesyłania plików;
- pole przesyłania plików nie jest ustawione jako wymagane.
Szczególnie dokładnie należy sprawdzić strony, na których odwiedzający mogą przesyłać dokumenty, obrazy lub inne pliki.
Co powinni zrobić administratorzy stron?
- Jak najszybciej zaktualizuj Elementor Pro do najnowszej dostępnej wersji.
- Sprawdź, czy na stronie nie ma nieznanych lub podejrzanych plików.
- Przejrzyj logi serwera WWW i WordPress, zwracając uwagę na nietypowe żądania przesyłania plików.
- Sprawdź konta użytkowników WordPress i usuń nieznanych administratorów oraz inne podejrzane konta.
- Jeśli strona mogła zostać użyta w ataku, zmień hasła administratorów i sprawdź klucze API, tokeny dostępu oraz inne sekrety.
- Jeśli wykryjesz oznaki włamania, odizoluj stronę i skontaktuj się ze specjalistą ds. bezpieczeństwa.
Użytkownicy Elementor Pro nie powinni polegać wyłącznie na sprawdzaniu rozszerzeń plików. Dla dodatkowej ochrony zaleca się ograniczyć typy przesyłanych plików, nie dopuszczać do przechowywania plików wykonywalnych w publicznie dostępnych folderach oraz korzystać z najnowszych wersji WordPress, wtyczek i oprogramowania serwera.
Źródło: CERT.LV komunikat
Dodatkowe informacje: analiza Patchstack