Die Elementor-Pro-RCE-Schwachstelle könnte es Angreifern ermöglichen, schädliche Dateien hochzuladen und Code auf anfälligen WordPress-Servern auszuführen. Die kritische Schwachstelle betrifft Elementor-Pro-Versionen, die vor Version 4.2.2 veröffentlicht wurden.
Das als CVE-2026-32475 verfolgte Problem befindet sich im File-Upload-Modul des Plugins. Betroffen sind Websites, die ein Elementor-Pro-Formular mit einem Datei-Upload-Feld verwenden und den Upload mehrerer Dateien aktiviert haben.
Elementor hat ein Sicherheitsupdate veröffentlicht. Website-Betreiber sollten die neueste Version installieren und ihre Server auf verdächtige Dateien überprüfen.
Datei-Upload-Prüfungen können schädliche Dateien übersehen
Die Schwachstelle entsteht durch eine Diskrepanz zwischen zwei Teilen des Datei-Upload-Prozesses. Ein Teil validiert hochgeladene Dateien, während ein anderer sie verarbeitet und auf den Server verschiebt.
Ein Angreifer kann einen Multipart-Upload erstellen, der mit einem leeren Dateinamen beginnt. Der Validierungsprozess stoppt, sobald er diesen leeren Eintrag findet, und überprüft die nachfolgende Datei nicht.
Der Verarbeitungsschritt überspringt den leeren Eintrag jedoch und fährt mit dem restlichen Upload fort. Dadurch kann eine schädliche PHP-Datei in einem öffentlich zugänglichen Verzeichnis für Elementor-Formulare abgelegt werden.
Dieser Unterschied ermöglicht es einem Angreifer, die vorgesehene Upload-Validierung zu umgehen. Sobald der Server die PHP-Datei gespeichert hat, kann ein Angreifer sie über einen Browser aufrufen und die Ausführung von Code auslösen.
Angreifer können Speicherorte hochgeladener Dateien vorhersagen
Die hochgeladene Datei erhält einen Namen, der mit der PHP-Funktion uniqid() generiert wird. Diese Methode verwendet zeitbasierte Werte anstelle vollständig zufälliger Namen.
Dadurch können Angreifer den Dateinamen möglicherweise durch zeitbasierte Versuche vorhersagen. Bei bestimmten Website-Konfigurationen könnte eine automatische E-Mail-Antwort außerdem den direkten Speicherort der hochgeladenen Datei offenlegen.
Wenn der Angreifer die URL der Datei findet, kann der Webserver deren Inhalt ausführen. Dadurch könnte der Angreifer Kontrolle mit denselben Berechtigungen erhalten, die dem Webserver-Prozess zur Verfügung stehen.
Die Elementor-Pro-RCE-Schwachstelle setzt ein veröffentlichtes Formular mit den entsprechenden Upload-Einstellungen voraus. Dennoch können betroffene Formulare selbst eine ansonsten gut gepflegte WordPress-Website einem schwerwiegenden Angriff aussetzen.
Elementor Pro aktualisieren und hochgeladene Dateien überprüfen
Elementor bereitete kurz nach Erhalt des Schwachstellenberichts eine Korrektur vor. Der Anbieter überprüfte den Patch anschließend und veröffentlichte ihn für seine Kunden.
Administratoren sollten Elementor Pro auf Version 4.2.2 oder die neueste verfügbare Version aktualisieren. Außerdem sollten sie das Verzeichnis wp-content/uploads/elementor/forms/ auf unerwartete PHP-Dateien oder andere verdächtige Uploads überprüfen.
Das Update verhindert eine zukünftige Ausnutzung. Es entfernt jedoch keine Dateien, die ein Angreifer möglicherweise hochgeladen hat, bevor die Website den Patch erhalten hat.
Sicherheitsteams sollten Serverprotokolle überprüfen, kürzlich geänderte Dateien untersuchen und nicht autorisierte Inhalte entfernen, nachdem sie mögliche Beweise für Untersuchungen gesichert haben. Außerdem sollten sie sicherstellen, dass Formulare nur die Funktionen verwenden, die für den normalen Betrieb erforderlich sind.
Die meisten Elementor-Websites sind nicht betroffen
Das Problem betrifft nicht jede Website, die Elementor verwendet. Eine Website muss Elementor Pro einsetzen, ein Formular mit einem Datei-Upload-Feld verwenden und die Option zum Hochladen mehrerer Dateien aktiviert haben.
Die Einstellung für mehrere Datei-Uploads ist standardmäßig deaktiviert. Dennoch sollten alle Elementor-Pro-Nutzer aktuelle Updates installieren, um Sicherheits- und Kompatibilitätsrisiken zu reduzieren.
Bislang wurde keine aktive Ausnutzung gemeldet. Aufgrund des Schweregrads der Schwachstelle ist eine schnelle Installation des Patches dennoch wichtig.
Fazit
Die Elementor-Pro-RCE-Schwachstelle CVE-2026-32475 kann bestimmte WordPress-Formulare für schädliche Datei-Uploads und serverseitige Codeausführung anfällig machen. Aktualisieren Sie Elementor Pro umgehend, überprüfen Sie das Upload-Verzeichnis der Formulare und untersuchen Sie alle unerwarteten Dateien.
0 Kommentare zu „Elementor-Pro-RCE-Schwachstelle erfordert dringendes Update“