Elementor Pro: Kritische Schwachstelle in Formularen ermöglicht Codeausführung durch Datei-Upload

Die Schwachstelle erlaubt das Hochladen eines PHP-Skripts

Eine kritische Schwachstelle in Elementor Pro kann es Angreifern ermöglichen, eine PHP-Datei auf einen WordPress-Server hochzuladen und remote auszuführen. Das Problem wird als CVE-2026-32475 geführt und betrifft Elementor-Pro-Versionen vor 4.2.2.

Die Schwachstelle liegt im Modul File Upload, das in mit Elementor erstellten Formularen verwendet wird. Unter bestimmten Bedingungen kann ein Angreifer die Inhaltsprüfung hochgeladener Dateien umgehen und ein Skript in ein öffentlich erreichbares Verzeichnis übertragen:

wp-content/uploads/elementor/forms/

Anschließend kann die Datei per HTTP aufgerufen werden. Interpretiert der Server PHP in diesem Verzeichnis, wird der Code mit den Rechten des für den Webserver verwendeten Kontos ausgeführt.

Die Schwachstelle wurde mit CVSS 9 bewertet. Der Vektor lautet:

CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:H

Der Angriff erfordert nicht zwingend Zugangsdaten oder eine Benutzerinteraktion. Allerdings ist die Komplexität aufgrund der Erstellung der Anfrage und der Ermittlung des generierten Dateinamens hoch.

Die Ursache liegt in der uneinheitlichen Verarbeitung leerer Dateiteile

Technisch entsteht der Fehler durch die Art und Weise, wie Elementor Pro die Elemente einer Multipart-Anfrage validiert und verarbeitet.

Die Komponente verwendet zwei getrennte Schleifen: Eine prüft die empfangenen Dateien, die andere führt den eigentlichen Transfer aus. Die beiden Verarbeitungspfade behandeln einen Upload-Teil ohne Dateinamen unterschiedlich. PHP kennzeichnet diesen Zustand mit dem Fehler UPLOAD_ERR_NO_FILE.

Eine manipulierte Anfrage kann mit einem Teil ohne Dateinamen beginnen und direkt danach eine PHP-Datei enthalten. Der Validator interpretiert das erste Element als ungültig und bricht die Prüfung ab. Das zweite Element wird dadurch nicht mehr untersucht.

Die Verarbeitungsroutine verhält sich dagegen anders: Sie ignoriert den leeren Teil und verarbeitet die nachfolgenden Inhalte weiter. Die PHP-Datei wird daher in das Elementor-Upload-Verzeichnis kopiert, obwohl die vorherige Prüfung die gesamte Anfrage nicht vollständig validiert hat.

Der Dateiname wird mit uniqid() erzeugt. Der zurückgegebene Wert hängt von der Zeit ab und bietet keine echte Zufälligkeit. Ein Angreifer kann daher versuchen, den Namen per zeitbasiertem Brute-Force-Verfahren zu rekonstruieren. In bestimmten Konfigurationen kann der vollständige Pfad außerdem in einer vom Formular automatisch erzeugten E-Mail erscheinen.

Sobald die URL ermittelt wurde, kann der Angreifer eine Anfrage an die Datei senden. Der Server übergibt den Inhalt an den PHP-Interpreter und führt den Code mit den Rechten des Webserver-Benutzers aus.

Wer tatsächlich gefährdet ist

Elementor Pro ist die kostenpflichtige Variante des WordPress-Page-Builders Elementor und kommt auf mehr als 10 Millionen aktive Installationen. Zu den Funktionen gehören unter anderem erweiterte Formulare, Werkzeuge für Themes und Pop-ups, benutzerdefiniertes CSS und benutzerdefinierter Code sowie Komponenten für E-Commerce-Websites.

Die bloße Installation des Plugins reicht jedoch nicht aus, um eine Betroffenheit von CVE-2026-32475 festzustellen. Die Website muss über Folgendes verfügen:

• mindestens ein veröffentlichtes Elementor-Formular;
• ein File Upload-Feld innerhalb des Formulars;
• aktiviertes Hochladen mehrerer Dateien.

Diese letzte Einstellung ist standardmäßig deaktiviert. Elementor teilte daher mit, dass Websites ohne diese Konfiguration von der konkreten Schwachstelle nicht betroffen sind. Ein Update bleibt dennoch dringend empfohlen, da es den Fehler in der Komponente behebt.

Die schwerwiegendste Folge ist die Möglichkeit, Code auf dem Server auszuführen. Je nach verfügbaren Rechten könnte ein Angreifer Seiten verändern, Inhalte ersetzen, Malware installieren, für das Webkonto zugängliche Daten auslesen und die kompromittierte Website für weitere Angriffe missbrauchen.

Derzeit liegen keine Berichte über eine aktive Ausnutzung in freier Wildbahn vor.

Entdeckung, Behebung und Einordnung in Risikokataloge

Die Schwachstelle wurde von Tin Pham entdeckt und am 16. Juli an Patchstack gemeldet. Die Informationen wurden anschließend an das Elementor-Team weitergegeben, das am folgenden Tag eine Korrektur vorbereitete.

Patchstack überprüfte die Korrektur am 3. August. Die geprüfte Version wurde am Tag vor der Veröffentlichung des auf den 20. August 2026 um 10:39 Uhr datierten Artikels bereitgestellt.

Es ist nicht bekannt, dass CVE-2026-32475 im Katalog Known Exploited Vulnerabilities (KEV) der CISA enthalten ist. Ebenso liegen keine Informationen über eine aktuelle frühere Aufnahme von Elementor in den KEV-Katalog vor. Das Fehlen eines KEV-Eintrags beseitigt das Risiko nicht: Bei entsprechender Konfiguration ermöglicht die Schwachstelle weiterhin eine vollständige Kompromittierung der Website.

Was Administratoren tun sollten

Die wichtigste Maßnahme besteht darin, Elementor Pro auf die aktuell verfügbare Version zu aktualisieren und sicherzustellen, dass mindestens 4.2.2 installiert ist. Das Update sollte auch auf Websites durchgeführt werden, auf denen das Hochladen mehrerer Dateien nicht aktiviert ist, damit keine verwundbare Version weiter betrieben wird.

Administratoren sollten außerdem:

1. prüfen, welche veröffentlichten Formulare ein File Upload-Feld enthalten;
2. kontrollieren, ob das Hochladen mehrerer Dateien aktiviert ist;
3. das Verzeichnis wp-content/uploads/elementor/forms/ untersuchen;
4. nach unerwarteten PHP-Dateien, ungewöhnlichen Dateinamen oder Dateien suchen, die sich nicht auf reguläre Website-Aktivitäten zurückführen lassen;
5. die während des Zeitraums mit verwundbarer Plugin-Version hochgeladenen Dateien analysieren;
6. die HTTP-Logs auf Anfragen an verdächtige Dateien in diesem Verzeichnis prüfen.

Bis zur Installation des Updates reduziert die Deaktivierung des Mehrfach-Uploads in den betroffenen Formularen die für den Angriff erforderliche Voraussetzung. Diese Maßnahme ist nur vorübergehend und ersetzt den Patch nicht.

Das Update entfernt außerdem keine möglicherweise bereits hochgeladenen Payloads. Werden verdächtige Skripte gefunden, reicht es nicht aus, sie ohne weitere Prüfung zu löschen: Die Logs sollten ausgewertet, Anfragen an diese Dateien gesucht und das System auf persistente Änderungen, manipulierte Konten oder weitere vom Angreifer eingeführte Komponenten untersucht werden.