{"id":590,"date":"2026-09-04T22:38:54","date_gmt":"2026-09-04T15:38:54","guid":{"rendered":"https:\/\/azefine.com\/?p=590"},"modified":"2026-09-04T22:38:54","modified_gmt":"2026-09-04T15:38:54","slug":"cve-2026-32475-rce-kritis-di-elementor-pro-via-bypass-validasi-upload","status":"publish","type":"post","link":"https:\/\/azefine.com\/?p=590","title":{"rendered":"CVE-2026-32475: RCE Kritis di Elementor Pro via Bypass Validasi Upload"},"content":{"rendered":"

Elementor Pro, salah satu plugin page builder paling populer untuk WordPress dengan lebih dari 6 juta instalasi, baru saja menambal keamanan kritis yang memungkinkan penyerang tanpa autentikasi untuk mengunggah file berbahaya dan mengeksekusi kode remote (RCE) di server. Kerentanan ini ditandai sebagai CVE-2026-32475<\/strong> dengan skor CVSS 9.0 \u2014 termasuk kategori paling parah.<\/p>\n

Bug ini berada di path upload form widget Elementor Pro (process_field<\/code> \u2192 Upload::validation()<\/code>). Validasi loop mengiterasi array file untuk satu field. Ketika elemen pertama memiliki UPLOAD_ERR_NO_FILE<\/code> (filename kosong), kode memanggil return<\/code> alih-alih continue<\/code> \u2014 menghentikan pengecekan ekstensi dan MIME untuk setiap file berikutnya di field tersebut. Sementara itu, mover (yang memindahkan file) berjalan di loop terpisah yang tetap menulis file meskipun slot pertama kosong. Validasi berhenti awal, mover terus jalan.<\/p>\n

Penyerang cukup mengirim request POST ke \/wp-admin\/admin-ajax.php<\/code> dengan action=elementor_pro_forms_send_form<\/code> dan menyisipkan file PHP berbahaya di slot kedua field upload \u2014 slot dibiarkan kosong untuk memicu UPLOAD_ERR_NO_FILE<\/code>. File mendarat di wp-content\/uploads\/elementor\/forms\/<uniqid>.php<\/code> tanpa pernah divalidasi. Wordfence mencatat lebih dari 190.000 percobaan blokir sejak pengungkapan 19 Agustus, dengan puncak serangan 19\u201323 Agustus.<\/p>\n

Cek dampak:<\/strong> Jalankan find wp-content\/uploads\/elementor\/forms\/ -type f -name \"*.php\" -ls<\/code> \u2014 jika ada file PHP di sana, anggap server sudah dikompromi, bukan sekadar perlu patch. Fix:<\/strong> Update Elementor Pro ke versi 4.2.2 atau lebih baru. Tambahan hardening: blok eksekusi PHP di folder upload via konfigurasi web server (nginx deny all<\/code> untuk .php<\/code> di path tersebut, atau <FilesMatch \".php$\"> Require all denied<\/FilesMatch><\/code> di .htaccess untuk Apache).<\/p>\n

Pelajaran teknis: jangan biarkan validasi dan file-move berbeda pendapat tentang arti “kosong”. Satu loop, continue<\/code> saat kosong, allowlist ekstensi, randomize nama file tanpa mempertahankan ekstensi penyerang, dan tolak eksekusi di folder upload di level web server.<\/p>\n

Sumber asli:<\/strong> dev.to<\/a><\/p>\n","protected":false},"excerpt":{"rendered":"

Elementor Pro, salah satu plugin page builder paling populer untuk WordPress dengan lebih dari 6 juta instalasi, baru saja menambal …<\/p>\n","protected":false},"author":1,"featured_media":591,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"om_disable_all_campaigns":false,"_monsterinsights_skip_tracking":false,"footnotes":""},"categories":[30],"tags":[],"class_list":["post-590","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-it-infrastructure"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t