Критическая уязвимость в Elementor Pro делает сайты на WordPress уязвимыми для RCE-атак
Критическая уязвимость в плагине Elementor Pro для WordPress может позволить злоумышленникам загружать исполняемые файлы для удалённого выполнения кода на сервере.
Уязвимость, обозначенная как CVE-2026-32475, затрагивает версии Elementor Pro до 4.2.2 и связана с модулем загрузки файлов, который использует отдельные циклы для проверки и обработки файлов и по-разному обрабатывает загрузку файлов с пустыми именами.
«Проблема в том, что эти два цикла по-разному определяют, что делать с пустой записью о файле (частью загрузки, имя файла в которой пустое, о чем PHP сообщает как UPLOAD_ERR_NO_FILE)», — уточняется в отчете Patchstack, компании, специализирующейся на кибербезопасности и экосистеме WordPress.
«Цикл проверки и цикл обработки имеют разную логику досрочного выхода для этих пустых записей, поэтому тщательно составленная многокомпонентная загрузка может быть воспринята валидатором и обработчиком по-разному».
Злоумышленник может воспользоваться этим, создав многокомпонентную загрузку, в которой первая запись имеет пустое имя файла, а за ней следует вредоносная PHP-программа.
Это приводит к тому, что процедура проверки завершает работу после изучения первой части, отклоняя ее с ошибкой UPLOAD_ERR_NO_FILE и не проверяя вторую часть. На этапе обработки пустая запись пропускается, но остальная часть загрузки перемещается в общедоступный каталог (wp-content/uploads/elementor/forms/) вместе с PHP из второй части.
Elementor Pro — это платная версия Elementor, очень популярного конструктора сайтов для WordPress с функцией перетаскивания элементов, который насчитывает более 10 миллионов активных установок.
Версия Pro добавляет более продвинутые функции, такие как создание форм, конструкторы тем и всплывающих окон, пользовательский код и CSS, а также инструменты для электронной коммерции. Как правило, она используется на платформах более высокого уровня.
По данным Patchstack, для использования уязвимости CVE-2026-32475 достаточно, чтобы на целевом сайте была опубликована форма Elementor с полем для загрузки файлов.
Исследователи утверждают, что после загрузки вредоносного PHP-кода злоумышленник может определить его имя в общедоступном каталоге, поскольку оно создается с помощью функции uniqid(), которая генерирует не случайное, а зависящее от времени имя.
Злоумышленник может определить имя полезной нагрузки методом подбора по времени. В некоторых конфигурациях он может получить точный URL через автоответчик.
Как только злоумышленник запрашивает загруженный файл по этому URL, интерпретатор PHP на сервере выполняет его содержимое, позволяя запускать произвольный код с привилегиями веб-сервера.
Компания Patchstack узнала о CVE-2026-32475 16 июля от исследователя Тина Фама, который и обнаружил уязвимость, и поделилась этой информацией с командой Elementor.
На следующий день разработчик плагина подготовил исправление, которое Patchstack проверила 3 августа и выпустила вчера.
Elementor также уведомил своих подписчиков об уязвимости, отметив, что она затрагивает только «сайты, использующие Elementor Pro Form с полем для загрузки файлов и включенной опцией загрузки нескольких файлов (по умолчанию она отключена).»
«Все остальные сайты на Elementor не затронуты, однако мы все же рекомендуем обновить все сайты до последней версии, чтобы снизить вероятность проблем с безопасностью и совместимостью», — сообщает компания.
Администраторам следует обновиться до последней версии Elementor Pro и проверить каталог wp-content/uploads/elementor/forms/ на наличие PHP-файлов или других вредоносных файлов.
Patchstack отмечает, что обновление не удаляет вредоносные файлы, загруженные в период уязвимости, и рекомендует провести тщательную проверку.
На данный момент в дикой природе не зафиксировано случаев активного использования уязвимости.
Редактор: AndreyEx
