In questo articolo Indice dei contenuti 2 sezioni
Una vulnerabilità di Elementor, il celebre plugin per WordPress, permette a un attaccante non autenticato di creare nuovi account amministratore sui siti colpiti. Si tratta di una falla di tipo CSRF, sigla che sta per cross site request forgery, cioè una tecnica che sfrutta la sessione già aperta di un utente legittimo per fargli eseguire operazioni senza che se ne accorga. Il meccanismo è piuttosto semplice. Basta convincere un amministratore collegato ad aprire un link malevolo e la sua sessione autenticata compie un’azione tramite REST API consentita dal suo account. Nelle installazioni predefinite il risultato finale è la nascita di un profilo con pieni poteri, controllato però da chi ha orchestrato l’attacco.
Parliamo di uno strumento diffusissimo. Elementor Website Builder è attivo su 10 milioni di siti e consente di costruire pagine web con un’interfaccia basata sul trascinamento degli elementi, senza dover scrivere codice. Il problema, che non ha ancora ricevuto un identificativo ufficiale, riguarda soltanto due release, la 4.3.0 e la 4.3.1. Secondo le statistiche di WordPress.org queste due versioni girano su un numero di siti che arriva fino a 2 milioni.
Come è stata scoperta la falla e da dove nasce
La segnalazione è partita da un cacciatore di bug noto come “Saggre”, che ha passato la scoperta alla società di sicurezza Patchstack. Quest’ultima ha avvisato il team di Elementor il 22 settembre 2026 e la correzione è arrivata appena due giorni dopo, il 24 settembre, con la versione 4.3.2 del plugin. Tempi di reazione decisamente rapidi.
Stando all’analisi tecnica, l’origine del difetto sta nel modulo Editor Events di Elementor. Questo componente controlla l’URI grezzo della richiesta alla ricerca del percorso elementor/v1/events/ e, quando trova quella stringa, salta la verifica del nonce REST di WordPress, ovvero il codice di controllo che serve proprio a bloccare richieste non autorizzate. Il guaio è che l’URI contiene anche parametri di query che l’attaccante può manipolare a piacimento. In pratica diventa possibile aggiungere quel percorso a richieste dirette verso altri endpoint REST e indurre gli utenti collegati a eseguirle con i privilegi che già possiedono.
Per Patchstack la falla si presta ad attacchi con un solo clic contro un amministratore connesso, con l’obiettivo di generare un nuovo account admin nelle mani del malintenzionato. La società lo spiega così: “Un link, aperto da un utente WordPress collegato, fa sì che quell’utente esegua qualsiasi azione REST API che il suo account è autorizzato a compiere”.
Cosa serve all’attaccante e come difendersi
Colpisce soprattutto la semplicità dell’operazione. Secondo i ricercatori l’attacco non richiede JavaScript, non ha bisogno di una pagina web gestita dall’aggressore e nemmeno dell’invio di un modulo. Il collegamento trappola può arrivare alla vittima attraverso una email, un messaggio in chat oppure un commento pubblicato direttamente sul sito. Tutti canali molto comuni, dove un link sospetto rischia di passare inosservato.
Chi utilizza release precedenti alla 4.3.0 non ha a che fare con questo specifico problema, perché quelle versioni non includono il proxy Editor Events coinvolto. Non è comunque il caso di sentirsi al sicuro, dato che le edizioni più vecchie del plugin Elementor sono esposte ad altre vulnerabilità, alcune delle quali risultano già sfruttate attivamente.
La raccomandazione per tutti gli utenti è quindi di passare quanto prima a Elementor 4.3.2, l’aggiornamento che impedisce agli attaccanti di attivare l’aggiramento dei controlli attraverso la stringa di query.
Fonte: TecnoAndroid
