Elementor Pro ha corregido una vulnerabilidad cr\u00edtica de subida arbitraria de archivos que afecta a todas las versiones hasta la 4.2.1, incluida. El fallo permite que un atacante sin autenticar suba archivos ejecutables, como scripts PHP, y llegue a ejecutar c\u00f3digo remoto en el servidor hasta tomar el control completo del sitio.<\/p>\n\n\n\n
Instala Elementor Pro 4.2.2 o una versi\u00f3n posterior cuanto antes. La versi\u00f3n 4.2.2, publicada el 19 de agosto de 2026, corrige completamente la vulnerabilidad CVE-2026-32475.<\/p>\n\n<\/div>\n\n\n\n
La vulnerabilidad tiene una puntuaci\u00f3n CVSS de 9,8 sobre 10 y se identifica como CVE-2026-32475<\/strong>. Afecta a Elementor Website Builder Pro, con slug Un sitio solo resulta explotable si ha publicado una p\u00e1gina que contiene un widget Form de Elementor Pro con, al menos, un campo File Upload que no sea obligatorio. El atacante no necesita una cuenta de WordPress ni permisos previos para enviar el formulario vulnerable.<\/p>\n\n\n\n El widget Form procesa env\u00edos p\u00fablicos mediante El problema est\u00e1 en el bucle de elementor-pro<\/code>, en las versiones 4.2.1 y anteriores.<\/p>\n\n\n\nEl error de validaci\u00f3n que abre la puerta<\/h2>\n\n\n\n
ajax_send_form()<\/code> en la clase Ajax_Handler<\/code>. El plugin encapsula los datos enviados y los archivos en un objeto Form_Record<\/code>, y deriva los campos de archivo a los m\u00e9todos validation()<\/code> y process_field()<\/code> de ElementorProModulesFormsFieldsUpload<\/code>.<\/p>\n\n\n\nvalidation()<\/code>. Cuando un campo de archivo no es obligatorio y el primer elemento del array de archivos indica UPLOAD_ERR_NO_FILE<\/code>, el c\u00f3digo ejecuta return<\/code>. Esa instrucci\u00f3n termina la validaci\u00f3n completa del campo, en vez de omitir solo la posici\u00f3n vac\u00eda.<\/p>\n\n\n\n