Elementor Pro : une faille critique dans les formulaires permet l’exécution de code

La vulnérabilité permet de téléverser un script PHP

Une vulnérabilité critique dans Elementor Pro peut permettre à un attaquant de téléverser un fichier PHP sur un serveur WordPress et de l’exécuter à distance. Identifiée sous le nom CVE-2026-32475, elle concerne les versions d’Elementor Pro antérieures à la 4.2.2.

La faille touche le module File Upload, utilisé dans les formulaires créés avec Elementor. Dans certaines conditions, un attaquant peut contourner les contrôles appliqués au contenu téléversé et déposer un script dans un répertoire publiquement accessible :

wp-content/uploads/elementor/forms/

Le fichier peut ensuite être appelé via HTTP. Si le serveur interprète le PHP dans le répertoire concerné, le code s’exécute avec les privilèges du compte utilisé par le serveur web.

La vulnérabilité affiche un score CVSS de 9, avec le vecteur suivant :

CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:H

L’attaque ne nécessite pas forcément d’identifiants ni d’interaction de l’utilisateur, mais sa complexité est élevée, car elle exige de construire une requête spécifique et de retrouver le nom attribué au fichier.

Le défaut provient d’une gestion incohérente des fichiers vides

L’origine technique réside dans la manière dont Elementor Pro valide et traite les éléments d’une requête multipart.

Le composant utilise deux boucles distinctes : l’une vérifie les fichiers reçus, tandis que l’autre prend effectivement en charge leur transfert. Ces deux chemins ne traitent pas de la même manière une partie du téléversement dont le nom est vide, une condition que PHP identifie par l’erreur UPLOAD_ERR_NO_FILE.

La requête malveillante peut commencer par une partie dépourvue de filename, puis contenir immédiatement un fichier PHP. Le validateur considère le premier élément comme invalide et interrompt l’analyse. Il n’examine donc pas le second.

La routine de traitement adopte toutefois un comportement différent : elle ignore la partie vide et continue à traiter les éléments suivants. Le fichier PHP est ainsi copié dans le répertoire de téléversement d’Elementor, même si le contrôle précédent n’a pas vérifié l’intégralité de la requête.

Le nom du fichier est généré à l’aide de uniqid(). La valeur produite dépend de l’heure et ne fournit pas une véritable valeur aléatoire. Un attaquant peut donc tenter de reconstituer le nom par brute force temporel. Dans certaines configurations, le chemin complet peut également apparaître dans un e-mail généré automatiquement par le formulaire.

Une fois l’URL identifiée, l’attaquant peut envoyer une requête vers le fichier. Le serveur transmet alors son contenu à l’interpréteur PHP et exécute le code avec les permissions de l’utilisateur du serveur web.

Qui est réellement exposé

Elementor Pro est l’édition payante du page builder WordPress Elementor et compte plus de 10 millions d’installations actives. Il inclut notamment des formulaires avancés, des outils pour les thèmes et les pop-ups, ainsi que des fonctionnalités de personnalisation du CSS et du code et des composants pour les sites de commerce électronique.

La simple présence du plugin ne suffit toutefois pas à déterminer l’exposition à la CVE-2026-32475. Le site doit disposer :

• d’au moins un formulaire Elementor publié ;
• d’un champ File Upload dans ce formulaire ;
• de l’option autorisant le téléversement de plusieurs fichiers.

Cette dernière option est désactivée par défaut. Elementor a donc indiqué que les sites n’utilisant pas cette configuration ne sont pas concernés par cette vulnérabilité spécifique. La mise à jour reste néanmoins recommandée, car elle supprime le défaut du composant.

La conséquence la plus grave est la possibilité d’exécuter du code sur le serveur. Selon les privilèges disponibles, l’attaquant pourrait modifier des pages, remplacer du contenu, installer des malwares, lire les données accessibles au compte web et utiliser le site compromis pour mener d’autres attaques.

Aucun cas d’exploitation active observé dans la nature n’a été signalé à ce jour.

Découverte, correctif et statut dans les catalogues de risques

La vulnérabilité a été découverte par Tin Pham et signalée à Patchstack le 16 juillet. Les informations ont ensuite été transmises à l’équipe d’Elementor, qui a préparé un correctif dès le lendemain.

Patchstack a vérifié le correctif le 3 août. La version examinée a été communiquée la veille de la publication de l’article, daté du 20 août 2026 à 10:39.

On ignore si la CVE-2026-32475 figure dans le catalogue Known Exploited Vulnerabilities (KEV) de la CISA. Aucune information n’est non plus disponible concernant d’éventuels antécédents récents d’Elementor dans ce catalogue. L’absence de référencement dans le KEV ne supprime pas le risque : la vulnérabilité permet toujours une compromission complète du site lorsque la configuration exposée est présente.

Ce que doivent faire les administrateurs

La principale mesure consiste à mettre à jour Elementor Pro vers la dernière version disponible et à vérifier qu’elle est au moins égale à la 4.2.2. La mise à jour doit également être appliquée aux sites sur lesquels le téléversement multiple n’est pas activé, afin d’éviter de conserver une version vulnérable.

Les administrateurs doivent également :

1. vérifier quels formulaires publiés contiennent un champ File Upload ;
2. contrôler si le téléversement de plusieurs fichiers est activé ;
3. examiner le répertoire wp-content/uploads/elementor/forms/ ;
4. rechercher des fichiers PHP inattendus, des noms inhabituels ou des fichiers sans rapport avec l’activité normale du site ;
5. analyser les fichiers téléversés pendant la période durant laquelle le plugin était vulnérable ;
6. examiner les journaux HTTP à la recherche de requêtes vers des fichiers suspects dans ce répertoire.

En attendant la mise à jour, désactiver le téléversement multiple dans les formulaires concernés réduit la condition nécessaire à l’attaque. Il s’agit toutefois d’une mesure temporaire qui ne remplace pas l’application du correctif.

La mise à jour ne supprime par ailleurs pas automatiquement les éventuels payloads déjà téléversés. Si des scripts suspects sont découverts, il ne suffit pas de les supprimer sans effectuer d’autres vérifications : il faut analyser les journaux, rechercher les requêtes vers ces fichiers et contrôler le système afin d’identifier d’éventuelles modifications persistantes, des comptes altérés ou d’autres composants introduits par l’attaquant.