Ciberseguridad

Vulnerabilidad en Elementor Pro permite a atacantes subir código PHP sin autenticación

Recientemente, se ha descubierto una grave falla de seguridad en el plugin Elementor Pro para WordPress, la cual podría permitir que atacantes sin autenticación suban y ejecuten código PHP en sitios web afectados. Este agujero de seguridad, conocido como CVE-2026-32475, tiene un puntaje de 9.0 sobre 10 en la escala de gravedad, lo que indica su potencial para causar daño significativo.

Cómo funciona el ataque

La vulnerabilidad radica en el módulo de formularios del plugin, específicamente en el campo de subida de archivos. Según la empresa de seguridad Patchstack, la falla se produce porque las verificaciones de la extensión del archivo y el proceso de mover el archivo subido se manejan en bucles separados, lo que permite que un atacante evite las restricciones de tipo de archivo. Al enviar dos partes de un archivo para el mismo campo, el atacante puede escribir un archivo PHP en un directorio público.

El archivo PHP se almacena en "wp-content/uploads/elementor/forms/.php", donde es un identificador único generado por PHP.
La configuración predeterminada del campo de subida no requiere que el archivo sea obligatorio, lo que facilita aún más el ataque.
Para que funcione el ataque, el sitio web debe tener al menos una página publicada que incluya un widget de formulario con un campo de subida de archivos.

A quién afecta

Esta vulnerabilidad afecta a todas las versiones del plugin Elementor Pro anteriores o iguales a la versión 4.2.1. La única condición necesaria para que un atacante lleve a cabo un ataque es que exista un formulario en el sitio que permita la subida de archivos. Esta situación es común en formularios de solicitud de empleo o soporte técnico, lo que aumenta el riesgo para muchos sitios web.

Qué significa esto para ti

Es crucial que los usuarios y administradores de sitios web que utilicen Elementor Pro actualicen a la versión 4.2.2, lanzada el 19 de agosto de 2026, para mitigar esta vulnerabilidad. Además, se recomienda mantener todos los plugins y el núcleo de WordPress actualizados. Realizar auditorías periódicas y escanear en busca de modificaciones no autorizadas puede ayudar a prevenir futuros ataques. La seguridad de los sitios web es fundamental, especialmente en entornos donde varios usuarios tienen acceso a la gestión de contenido.

Fuente:

https://thehackernews.com/2026/08/elementor-pro-flaw-could-let.html

Etiquetado en: WordPress Elementor Pro CVE-2026-32475

Agosto 20, 2026 10:34 AM
Fuente: ciberconcienciadigital.com
Publicado por: Cecilia Coria

Buscar

Vulnerabilidad en Elementor Pro permite a atacantes subir código PHP sin autenticación

Cómo funciona el ataque

A quién afecta

Qué significa esto para ti

Buscar

Alertas

Tutoriales

Eventos