🔥 Fique por dentro das novidades mais quentes do momento! 🔥
Leia, comente e fique sempre atualizado!
Apoie esse projeto de divulgacao de noticias! Clique aqui
Uma vulnerabilidade crítica no plugin Elementor Pro WordPress pode permitir que invasores carreguem arquivos executáveis para execução remota de código no servidor.
Identificada como CVE-2026-32475, a falha afeta versões do Elementor Pro anteriores à 4.2.2 e decorre do módulo File Upload, que usa loops separados para validação e processamento de arquivos que lidam com uploads de nomes de arquivos vazios de maneira diferente.
“O problema é que esses dois loops discordam sobre o que fazer com uma entrada de arquivo vazia (uma parte de upload cujo nome de arquivo está em branco, que o PHP reporta como UPLOAD_ERR_NO_FILE)”, esclarece um relatório da Patchstack, empresa de segurança cibernética focada no ecossistema WordPress.
“O loop de validação e o loop de processamento têm lógica de saída antecipada diferente para essas entradas vazias, de modo que um upload de várias partes cuidadosamente moldado pode ser visto de uma forma pelo validador e de outra pelo movimentador.”
Um invasor pode explorar esse comportamento criando um multipart upload no qual a primeira entrada tem um nome de arquivo vazio, seguido por uma carga PHP maliciosa.
Isso faz com que a rotina de validação seja encerrada após examinar a primeira parte, descartando-a com o erro UPLOAD_ERR_NO_FILE e nunca verificando a segunda parte. A etapa de processamento ignora a entrada vazia, mas passa pelo resto do upload e move para um diretório público (wp-content/uploads/elementor/forms/) o PHP na segunda parte.
Elementor Pro é a versão paga do Elementor, um construtor de sites de arrastar e soltar altamente popular para WordPress que tem mais de 10 milhões de instalações ativas.
A versão Pro adiciona recursos mais avançados, como criação de formulários, criadores de temas e pop-ups, código personalizado e CSS e ferramentas de comércio eletrônico, e geralmente é usada por plataformas de nível superior.
De acordo com o Patchstack, a exploração do CVE-2026-32475 requer apenas que o site de destino tenha um formulário Elementor publicado contendo um campo de upload de arquivo.
Os pesquisadores dizem que depois de carregar o PHP malicioso, um invasor pode determinar seu nome de arquivo no diretório público porque ele é criado usando a função uniqid(), que não é aleatória, mas baseada no tempo.
Um invasor pode determinar o nome da carga útil por meio de força bruta de temporização. Em algumas configurações, eles podem obter o URL exato por meio de um e-mail de resposta automática.
Assim que o invasor solicita o arquivo carregado naquela URL, o interpretador PHP do servidor executa seu conteúdo, permitindo que código arbitrário seja executado com os privilégios do servidor web.
Patchstack soube do CVE-2026-32475 em 16 de julho por Tin Pham, o pesquisador que o descobriu, e compartilhou as informações com a equipe da Elementor.
No dia seguinte, o desenvolvedor do plugin preparou uma correção, que o Patchstack verificou em 3 de agosto, e entregou ontem.
A Elementor também notificou seus assinantes sobre a vulnerabilidade, observando que ela coloca em risco apenas “sites que usam um formulário Elementor Pro com um campo de formulário de upload de arquivo e a opção de upload de vários arquivos habilitada (está desabilitada por padrão)”.
“Todos os outros sites Elementor não são afetados, no entanto, ainda recomendamos que todos os sites sejam atualizados para a versão mais recente para reduzir a probabilidade de problemas de segurança e incompatibilidade”, diz o fornecedor.
Os administradores devem atualizar para a versão mais recente do Elementor Pro e verificar o diretório ‘wp-content/uploads/elementor/forms/’ em busca de arquivos PHP ou outros arquivos não autorizados.
Patchstack observa que a atualização não remove arquivos maliciosos carregados durante o período de exposição e recomenda um exame completo.
Neste momento, nenhum caso de exploração ativa foi observado na natureza.
Depois que os invasores tiverem credenciais válidas, apenas 37% de suas ações serão bloqueadas
As pontuações gerais de prevenção podem ocultar o que acontece após o acesso inicial. Quando os invasores usam credenciais válidas, a prevenção cai drasticamente. O Blue Report 2026 mede as defesas técnica por técnica em 338 milhões de simulações executadas em ambientes de produção de clientes.
Obtenha o relatório
Identificada como CVE-2026-32475, a falha afeta versões do Elementor Pro anteriores à 4.2.2 e decorre do módulo File Upload, que usa loops separados para validação e processamento de arquivos que lidam com uploads de nomes de arquivos vazios de maneira diferente.
“O problema é que esses dois loops discordam sobre o que fazer com uma entrada de arquivo vazia (uma parte de upload cujo nome de arquivo está em branco, que o PHP reporta como UPLOAD_ERR_NO_FILE)”, esclarece um relatório da Patchstack, empresa de segurança cibernética focada no ecossistema WordPress.
“O loop de validação e o loop de processamento têm lógica de saída antecipada diferente para essas entradas vazias, de modo que um upload de várias partes cuidadosamente moldado pode ser visto de uma forma pelo validador e de outra pelo movimentador.”
Um invasor pode explorar esse comportamento criando um multipart upload no qual a primeira entrada tem um nome de arquivo vazio, seguido por uma carga PHP maliciosa.
Isso faz com que a rotina de validação seja encerrada após examinar a primeira parte, descartando-a com o erro UPLOAD_ERR_NO_FILE e nunca verificando a segunda parte. A etapa de processamento ignora a entrada vazia, mas passa pelo resto do upload e move para um diretório público (wp-content/uploads/elementor/forms/) o PHP na segunda parte.
Elementor Pro é a versão paga do Elementor, um construtor de sites de arrastar e soltar altamente popular para WordPress que tem mais de 10 milhões de instalações ativas.
A versão Pro adiciona recursos mais avançados, como criação de formulários, criadores de temas e pop-ups, código personalizado e CSS e ferramentas de comércio eletrônico, e geralmente é usada por plataformas de nível superior.
De acordo com o Patchstack, a exploração do CVE-2026-32475 requer apenas que o site de destino tenha um formulário Elementor publicado contendo um campo de upload de arquivo.
Os pesquisadores dizem que depois de carregar o PHP malicioso, um invasor pode determinar seu nome de arquivo no diretório público porque ele é criado usando a função uniqid(), que não é aleatória, mas baseada no tempo.
Um invasor pode determinar o nome da carga útil por meio de força bruta de temporização. Em algumas configurações, eles podem obter o URL exato por meio de um e-mail de resposta automática.
Assim que o invasor solicita o arquivo carregado naquela URL, o interpretador PHP do servidor executa seu conteúdo, permitindo que código arbitrário seja executado com os privilégios do servidor web.
Patchstack soube do CVE-2026-32475 em 16 de julho por Tin Pham, o pesquisador que o descobriu, e compartilhou as informações com a equipe da Elementor.
No dia seguinte, o desenvolvedor do plugin preparou uma correção, que o Patchstack verificou em 3 de agosto, e entregou ontem.
A Elementor também notificou seus assinantes sobre a vulnerabilidade, observando que ela coloca em risco apenas “sites que usam um formulário Elementor Pro com um campo de formulário de upload de arquivo e a opção de upload de vários arquivos habilitada (está desabilitada por padrão)”.
“Todos os outros sites Elementor não são afetados, no entanto, ainda recomendamos que todos os sites sejam atualizados para a versão mais recente para reduzir a probabilidade de problemas de segurança e incompatibilidade”, diz o fornecedor.
Os administradores devem atualizar para a versão mais recente do Elementor Pro e verificar o diretório ‘wp-content/uploads/elementor/forms/’ em busca de arquivos PHP ou outros arquivos não autorizados.
Patchstack observa que a atualização não remove arquivos maliciosos carregados durante o período de exposição e recomenda um exame completo.
Neste momento, nenhum caso de exploração ativa foi observado na natureza.
Depois que os invasores tiverem credenciais válidas, apenas 37% de suas ações serão bloqueadas
As pontuações gerais de prevenção podem ocultar o que acontece após o acesso inicial. Quando os invasores usam credenciais válidas, a prevenção cai drasticamente. O Blue Report 2026 mede as defesas técnica por técnica em 338 milhões de simulações executadas em ambientes de produção de clientes.
Obtenha o relatório
#samirnews #samir #news #boletimtec #bug #crítico #do #elementor #pro #expõe #sites #wordpress #a #ataques #rce
🚀 Mais conteúdos incríveis estão por vir, fique atento!
Postar um comentário