Uma vulnerabilidade crítica no plugin Elementor Pro (CVE-2026-32475) permite que atacantes façam upload de arquivos executáveis para execução remota de código no servidor, conforme análise da Patchstack, empresa de segurança focada no ecossistema WordPress. A falha afeta versões anteriores à 4.2.2 e está no módulo de Upload de Arquivos, que utiliza loops separados para validação e processamento de arquivos, tratando de forma diferente uploads com nome de arquivo vazio.
Mecanismo de exploração via upload malicioso
O problema ocorre porque o loop de validação e o loop de processamento têm lógicas de saída antecipada diferentes para entradas vazias, explica o relatório da Patchstack. Um atacante pode criar um upload multipart em que a primeira entrada tem um nome de arquivo vazio, seguida por um payload PHP malicioso. A rotina de validação sai após examinar a primeira parte, descartando-a com erro UPLOAD_ERR_NO_FILE e nunca verificando a segunda parte, enquanto o processamento ignora a entrada vazia, mas move o PHP na segunda parte para um diretório público (wp-content/uploads/elementor/forms/).
Condições para exploração e determinação do nome do arquivo
A exploração requer apenas que o site alvo tenha um formulário Elementor publicado contendo um campo de upload de arquivo, segundo a Patchstack. Após o upload, um atacante pode determinar o nome do arquivo no diretório público porque ele é criado usando a função uniqid(), que é baseada em tempo e não aleatória, permitindo força bruta temporal para descobri-lo. Em algumas configurações, é possível obter a URL exata por meio de um e-mail de resposta automática. Ao solicitar o arquivo, o interpretador PHP do servidor executa seu conteúdo, permitindo código arbitrário com privilégios do servidor web.
Correção disponível e recomendações
A Patchstack recebeu a informação da vulnerabilidade em 16 de julho do pesquisador Tin Pham e a compartilhou com a equipe Elementor, que preparou uma correção no dia seguinte, verificada em 3 de agosto e entregue em 19 de agosto, conforme cronograma. A Elementor notificou seus assinantes, afirmando que o risco afeta apenas “sites que usam um Formulário Elementor Pro com um campo de upload de arquivo e a opção de upload múltiplo ativada (desativada por padrão)”. A empresa recomenda que todos os sites atualizem para a versão mais recente. A Patchstack recomenda que administradores atualizem para a versão mais recente do Elementor Pro e verifiquem o diretório ‘wp-content/uploads/elementor/forms/’ em busca de arquivos PHP ou outros arquivos maliciosos, observando que a atualização não remove arquivos maliciosos enviados durante o período de exposição. Até o momento, não foram observados casos de exploração ativa.
