Elementor CSRF Flaw Lets Attackers Take Over Sites After Admin Clicks Crafted Link
What it means
Elementor, un plugin WordPress, presenta una vulnerabilità CSRF che permette a un attaccante non autenticato di creare account amministratori e prendere il controllo del sito. La vulnerabilità colpisce le versioni 4.3.0 e 4.3.1 del plugin. L'attacco richiede solo un clic su un link ingannevole, senza prerequisiti. La patch è disponibile in versione 4.3.2.
Why it matters
La vulnerabilità potrebbe compromettere migliaia di siti WordPress, inclusi quelli delle PMI italiane, mettendo a rischio dati sensibili e la gestione del sito. L'accesso non autorizzato potrebbe portare a danni economici e reputazionali significativi.
Recommended actions
- Applicare immediatamente la patch 4.3.2 del plugin Elementor
- Ridurre l'esposizione delle API REST di WordPress
- Monitorare l'attività di accesso agli account amministratori
- Eseguire una scansione per identificare eventuali link ingannevoli
- Implementare controlli di autorizzazione per le richieste API
- Verificare l'aggiornamento di tutti i plugin WordPress
Potential operational benefits
- Riduzione della superficie esposta delle API REST
- Prevenzione di accessi non autorizzati agli account amministratori
- Miglioramento della visibilità e del controllo sugli accessi
- Riduzione del rischio di compromissione di siti WordPress
Translation in progress
The official content is available in the original language. The Italian version will be published once automated checks are complete.
Text acquired from the source
Details have emerged about a high-severity security flaw in the Elementor Website Builder WordPress plugin that could be exploited by an unauthenticated attacker to create rogue administrator accounts and take control of a site. The cross-site request forgery (CSRF) vulnerability, which has yet to be assigned a CVE identifier, carries a CVSS score of 8.8 out of 10.0. It only affects versions
- Source
- The Hacker News
- Publishing entity
- The Hacker News
- Entity type
- editorial osint
- Area
- Global
- Original language
- en · translation in preparation
- Publication
- 26/09/2026 11:55
- MITRE ATT&CK
- T1542, T1552
- Classification
- High