WPsec.itSicurezza WordPress
Tutti gli articoli
Vulnerabilità4 min di letturaTeam WPsec.it

Elementor Pro: il campo upload dei form può diventare una RCE

CVE-2026-32475 trasforma un File Upload pubblico di Elementor Pro in scrittura di PHP. Chi è esposto, patch 4.2.2 e controlli post-aggiornamento.

Condividi
Elementor Pro: il campo upload dei form può diventare una RCE

I form con allegati sono una superficie molto comune: candidature, ticket, richieste di preventivo, documenti e assistenza clienti. Proprio per questo CVE-2026-32475, CVSS 9.0, merita una verifica mirata e non il solito "abbiamo Elementor, quindi siamo esposti".

Il perimetro reale richiede tre elementi:

  • Elementor Pro, non la sola versione gratuita;
  • una versione fino alla 4.2.1 inclusa;
  • almeno un widget Form pubblico con campo File Upload.

Se manca uno di questi elementi, il percorso descritto dall'advisory non è presente. Se ci sono tutti, l'aggiornamento è urgente.

Da dove nasce il problema

Il modulo Forms gestiva il file in due momenti separati:

  1. un ciclo controllava l'estensione;
  2. un secondo ciclo spostava il file nella directory pubblica.

I due passaggi interpretavano in modo diverso una voce di upload vuota. Una richiesta costruita con più parti poteva quindi mostrare un insieme di dati al validatore e un altro al codice che muoveva il file.

Il difetto non era nel concetto di blocklist in sé, ma nella desincronizzazione tra decisione e azione. Il risultato era la possibilità di scrivere un file PHP sotto la directory degli upload di Elementor Forms e poi richiamarlo via web, arrivando all'esecuzione di codice sul server.

La versione 4.2.2 allinea i due passaggi e ripete il controllo immediatamente prima dello spostamento del file.

Quali siti vanno controllati per primi

La priorità è alta per installazioni che usano:

  • form di candidatura con curriculum;
  • ticket di assistenza con allegati;
  • moduli di contatto con documenti;
  • autoresponder che restituiscono dettagli dell'upload;
  • più siti clonati dallo stesso template Elementor;
  • directory upload dove PHP può essere eseguito dal web server.

Un form non più visibile nel menu principale può essere ancora pubblicato, incorporato in un popup o raggiungibile con un URL diretto. L'inventario deve quindi cercare i widget e non limitarsi alle pagine più visitate.

Cosa fare subito

1. Verifica prodotto e versione

Controlla separatamente Elementor e Elementor Pro. La versione gratuita aggiornata non compensa un'estensione Pro vulnerabile.

2. Aggiorna Elementor Pro alla 4.2.2 o successiva

Su siti critici prepara un backup verificato e prova su staging invio, allegato, notifica email, integrazioni CRM e messaggio di conferma. Non ripristinare una versione vulnerabile se compare una regressione: isola il form e apri un ticket al vendor.

3. Censisci i campi File Upload

Se non puoi aggiornare immediatamente, rimuovi o disattiva temporaneamente i campi di caricamento pubblici. Nascondere il link alla pagina non è una mitigazione affidabile se l'endpoint resta raggiungibile.

4. Controlla la directory degli upload

L'advisory indica come area da esaminare wp-content/uploads/elementor/forms/. Cerca file PHP o tipi mai previsti dai form, ma non cancellarli alla cieca: se qualcosa è sospetto, conserva copia, hash, timestamp e log correlati prima della rimozione.

5. Verifica gli effetti, non solo il file

Controlla utenti amministratori, plugin e temi installati, file core modificati, task pianificati, redirect e richieste anomale. Un file caricato può essere stato solo il primo passaggio.

Aggiornato non significa automaticamente pulito

La patch impedisce nuovi upload con la tecnica descritta. Non rimuove un file già scritto e non annulla comandi eventualmente eseguiti prima dell'update.

Al momento della disclosure primaria, Patchstack non documentava casi confermati di sfruttamento nel mondo reale. Questa assenza non è una prova che un singolo sito non sia stato toccato: la valutazione va fatta sui suoi log e sul suo filesystem.

Una difesa aggiuntiva utile

Quando compatibile con l'applicazione, impedire l'esecuzione di PHP nelle directory destinate ai soli upload riduce l'impatto di molte classi di vulnerabilità simili. È una misura di hardening, non un sostituto della patch: va applicata con test perché alcuni plugin usano percorsi o handler non standard.

Fonti

Pubblicato il

Condividi

Scritto dal team WPsec.it

Team WPsec.it

Bonifica malware, hardening, performance e manutenzione WordPress.

Prevenzione e gestione

Dopo l'emergenza, o per non arrivarci: le guide sulla gestione.

Sicurezza, velocità e manutenzione di WordPress sono lo stesso lavoro visto da tre lati. Queste pagine spiegano cosa controllare, con quale priorità e quanto costa farlo fare.

Continua a leggere

Articoli correlati.