Elementor Pro Eklentisindeki Kritik Açık Web Sitelerini Hedef Alıyor

WordPress dünyasının en popüler araçlarından biri olan Elementor Pro, web sitelerini tam yetkiyle ele geçirmeye olanak tanıyan kritik seviyede bir güvenlik açığı ile gündeme geldi. Defiant tarafından paylaşılan bilgilere göre, CVE-2026-32475 kodlu bu zafiyet, eklentinin form gönderimlerini işleyen fonksiyonundaki bir mantık hatasından kaynaklanıyor.

Söz konusu açık, bir dosya yükleme alanına gönderilen verilerin doğrulanması sırasında tetikleniyor. Saldırganlar, yükleme alanına boş bir slot içeren bir dizi göndererek doğrulama döngüsünü yanıltabiliyor. Bu işlem, doğrulama mekanizmasını yarıda keserek, aynı form alanı üzerinden gönderilen zararlı bir PHP payload dosyasının hiçbir kontrolden geçmeden sunucuya yazılmasına neden oluyor. Kimlik doğrulaması gerektirmeyen bu yöntem, saldırganların sunucu üzerinde kod çalıştırmasına ve siteyi tamamen ele geçirmesine kapı aralıyor.

4.2.1 ve önceki tüm sürümleri etkileyen bu kritik hata, 19 Ağustos tarihinde yayınlanan 4.2.2 sürümü ile giderildi. Güvenlik araştırmacıları, yama yayınlandıktan hemen sonra saldırganların bu açığı aktif olarak sömürmeye başladığını ve bugüne kadar 190 binden fazla saldırı girişiminin engellendiğini rapor ediyor.

Site yöneticilerinin, sitelerinin güvenliğini sağlamak için eklentiyi vakit kaybetmeden en güncel sürüme yükseltmeleri gerekiyor.