Resumen

Se ha identificado una vulnerabilidad de tipo Unrestricted File Upload (CWE‑434) en el plugin Elementor Pro para WordPress, versiones hasta la 4.2.1. La falla permite a un atacante no autenticado subir archivos con extensiones peligrosas y, a través de ellos, ejecutar código arbitrario en el servidor.

Detalles técnicos

  • CVE: CVE‑2026‑32475
  • Severidad: CVSS 3.1 9.0 (CRITICAL) – AV:N/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:H
  • Tipo: CWE‑434 – Subida de archivo sin validación adecuada.
  • Producto afectado: Elementor Pro (WordPress) 4.2.1 y versiones anteriores.

El vector de ataque es remoto y no requiere autenticación. Al subir un archivo con una extensión permitida pero con contenido malicioso, el plugin lo procesa sin la sanitización necesaria, lo que abre la puerta a la ejecución de código remoto (RCE).

"Elementor Pro flaw could let attackers execute code" – The Hacker News

Impacto

  • Compromiso total del sitio WordPress.
  • Posible escalada a otros sistemas dentro de la infraestructura.
  • Pérdida de confidencialidad, integridad y disponibilidad (C‑H‑I‑A).

Recomendaciones

  1. Actualizar inmediatamente a la versión 4.2.2 o superior, donde el problema está corregido.
  2. Revisar los permisos de subida de archivos y aplicar reglas de whitelist estrictas.
  3. Monitorizar logs de subida de ficheros y detectar patrones anómalos.

Cobertura de detección en DefensOps

  • Plan mínimo: Essential
  • Cobertura: Motor de correlación genérico que detecta intentos de subida de archivos sospechosos y actividades de ejecución de código inesperadas.

¿Estás cubierto en DefensOps?

Nuestro motor de correlación incluye reglas que cubren la técnica de Upload of File with Dangerous Type (MITRE ATT&CK N/A) dentro del plan Essential. Si utilizas este plan, recibirás alertas en tiempo real ante intentos de explotación de esta vulnerabilidad.

Consulta nuestros planes y solicita una demo aquí.

Fuentes: The Hacker News