Elementor Pro har lukket en kritisk s\u00e5rbarhed, der kan give en uautoriseret angriber fuld kontrol over et WordPress-site. Fejlen ber\u00f8rer alle versioner til og med 4.2.1, mens version 4.2.2 indeholder rettelsen.<\/p>\n\n\n\n
Bruger du Elementor Pro 4.2.1 eller en \u00e6ldre version, skal du opdatere til mindst 4.2.2. S\u00e5rbarheden har CVSS-score 9,8 ud af 10 og er registreret som CVE-2026-32475.<\/p>\n\n<\/div>\n\n\n\n
Fejlen g\u00f8r det muligt at uploade vilk\u00e5rlige filer uden login, herunder eksekverbare PHP-filer. Hvis en angriber f\u00e5r lagt en PHP-fil p\u00e5 serveren og efterf\u00f8lgende henter den via web, kan koden k\u00f8re p\u00e5 serveren. Det kan f\u00f8re til fjernudf\u00f8relse af kode og i sidste ende en komplet overtagelse af sitet, blandt andet med webshells.<\/p>\n\n\n\n
Elementor Pro er et premium-plugin med ansl\u00e5et 6.000.000 aktive installationer. S\u00e5rbarheden kr\u00e6ver dog en konkret ops\u00e6tning: Sitet skal have en offentliggjort side med Elementor Pro Form-widgetten og mindst \u00e9t File Upload-felt, der ikke er markeret som obligatorisk.<\/p>\n\n\n\n
Austin Ginder opdagede og indrapporterede s\u00e5rbarheden ansvarligt. Elementor blev orienteret den 27. juli 2026, og den fulde rettelse udkom den 19. august 2026.<\/p>\n\n\n\n
Formularindsendelser g\u00e5r gennem I ajax_send_form()<\/code> i klassen Ajax_Handler<\/code>, som ogs\u00e5 kan n\u00e5s af bes\u00f8gende uden login. Uploadede filer ender derefter i validation()<\/code> og process_field()<\/code> i klassen ElementorProModulesFormsFieldsUpload<\/code>.<\/p>\n\n\n\nvalidation()<\/code> genneml\u00f8ber pluginet filerne i et uploadfelt. N\u00e5r feltet ikke er obligatorisk, og f\u00f8rste element i fil-arrayet mangler, afslutter koden imidlertid hele funktionen med return<\/code>. Dermed springer den ikke blot det tomme felt over: Den undlader ogs\u00e5 at validere alle efterf\u00f8lgende filer i samme felt.<\/p>\n\n\n\n