Falha de CSRF no Elementor pode comprometer mais de 2 milhões de sites WordPress
Uma vulnerabilidade no Elementor pode permitir que um invasor crie uma conta com privilégios de administrador em sites WordPress vulneráveis. O problema afeta as versões 4.3.0 e 4.3.1 do construtor de páginas, instaladas em mais de 2 milhões de sites. A falha foi corrigida na versão 4.3.2.
O Elementor está presente em mais de 10 milhões de instalações WordPress, o que torna importante verificar a versão em uso mesmo em sites que não tenham identificado sinais de ataque. A vulnerabilidade recebeu nota 8,8 no CVSS, classificação considerada alta. Na divulgação, em 26 de setembro, ainda não havia um identificador CVE associado ao problema.
A falha está no módulo Editor Events e envolve uma proteção inadequada contra CSRF – sigla para falsificação de requisição entre sites. Esse tipo de ataque se aproveita do funcionamento dos navegadores: quando uma pessoa está autenticada em um site, o navegador pode enviar automaticamente os cookies de sessão junto a determinadas requisições.
No caso identificado, a verificação de segurança podia ser contornada ao adicionar `elementor/v1/events/` como parâmetro de consulta. Com esse artifício, uma requisição à API REST poderia passar pela checagem sem que o plugin confirmasse corretamente se ela havia sido iniciada dentro do painel do próprio site.
A exploração não depende da instalação de um programa nem exige que o invasor controle uma página específica. Um link enviado por e-mail ou mensagem pode ser suficiente. Se uma pessoa com sessão administrativa ativa clicar nele, o navegador poderá encaminhar a solicitação autenticada. Em uma instalação padrão, o resultado pode ser a criação de outra conta de administrador.
Esse cenário é especialmente preocupante porque uma conta administrativa permite alterar configurações, instalar ou modificar plugins e temas, criar novos usuários e editar conteúdo. Dependendo dos recursos disponíveis no site, o invasor pode ainda tentar ampliar o acesso ou comprometer dados e funcionalidades.
O alcance potencial também vai além das funções do Elementor. Como a falha pode abrir caminho para requisições à API REST, o risco abrange rotas do próprio WordPress e endpoints expostos por outros plugins instalados. Assim, os efeitos podem variar conforme a configuração do site e os componentes ativos.
A vulnerabilidade foi identificada pelo pesquisador conhecido como Saggre e corrigida após divulgação responsável. No momento da análise, não havia registro público de exploração ativa. Ainda assim, a ausência de relatos não elimina o risco para instalações que continuam usando as versões vulneráveis.
A providência prioritária é atualizar o Elementor para a versão 4.3.2 ou posterior. No painel do WordPress, o responsável deve conferir a versão instalada e iniciar a atualização pelo gerenciador de plugins. Se a atualização automática estiver habilitada, ainda é recomendável confirmar que ela foi concluída e que o site está realmente protegido.
Depois da correção, vale revisar as contas administrativas e remover usuários desconhecidos ou que não precisem mais desse nível de acesso. Também é prudente verificar alterações recentes em configurações, plugins e temas, além de consultar os registros de atividade disponíveis. Essas medidas não substituem a atualização, mas podem ajudar a identificar consequências de uma possível exploração anterior.
Administradores que suspeitem de acesso indevido devem trocar as senhas das contas privilegiadas, encerrar sessões ativas quando a plataforma oferecer essa opção e avaliar a rotação de credenciais relacionadas ao site. Em caso de indícios de comprometimento, uma análise técnica dos arquivos e dos registros de acesso pode ajudar a delimitar o impacto antes de restabelecer a operação normal.
Como proteção adicional, mantenha o WordPress, os temas e os demais plugins atualizados, limite o número de contas administrativas e conceda privilégios elevados apenas a pessoas que realmente precisem deles. Treinar a equipe para não abrir links inesperados enquanto estiver autenticada no painel também reduz a exposição a ataques de CSRF.
A correção na versão 4.3.2 é o passo essencial para fechar a brecha conhecida no Elementor. Como a falha afeta uma área ligada à API REST e pode ser acionada por uma interação simples, verificar a versão instalada deve ser uma tarefa imediata para qualquer responsável por sites WordPress.