Nach Angaben von Patchstack handelt es sich bei CVE-2026-32475 um einen Fall des uneingeschränkten Uploads einer Datei mit gefährlichem Typ. Der Fehler sitzt im Datei-Upload-Feld des Forms-Moduls von Elementor Pro. Dort werden die Erweiterungsprüfung und das Verschieben der Datei in zwei getrennten Schleifen ausgeführt, wobei leere Dateieinträge unterschiedlich verarbeitet werden.
Patchstack zufolge kann ein nicht authentifizierter Angreifer zwei Dateiteile für dasselbe Feld einreichen und so die Blockliste für Dateiendungen vollständig umgehen. Das Ergebnis ist, dass eine PHP-Datei in einem öffentlichen Verzeichnis landet. Diese Abweichung bei der Validierung und beim Verschieben macht aus einem eigentlich eingeschränkten Upload-Feld einen Mechanismus für nicht authentifizierte Remote Code Execution.
Die Schwachstelle betrifft laut Patchstack alle Plugin-Versionen vor und einschließlich 4.2.1. Ein erfolgreicher Angriff erlaubt das Hochladen beliebiger Dateien, darunter PHP-Skripte, die anschließend zur Codeausführung auf betroffenen Systemen genutzt werden können. Voraussetzung für einen Angriff ist laut dem WordPress-Sicherheitsunternehmen lediglich, dass die Zielseite mindestens eine veröffentlichte Elementor-Seite mit einem Formular-Widget und Datei-Upload-Feld besitzt. Die hochgeladene Datei wird als „wp-content/uploads/elementor/forms/<uniqid>.php“ gespeichert, wobei „<uniqid>“ der Ausgabe der PHP-Funktion uniqid() entspricht.
Patchstack betont, dass dies eine sehr verbreitete Standardkonfiguration sei. Genannt werden etwa Bewerbungsformulare, Formulare zum Anhängen von Fotos, Ausweisen oder Belegen sowie Uploads in Support-Tickets. Hinzu kommt, dass die Option „Erforderlich“ für das Feld standardmäßig deaktiviert ist, also keine besondere oder ungewöhnliche Konfiguration nötig ist.
Entdeckt und gemeldet wurde die Lücke von Sicherheitsforscher Tin Pham, auch bekannt als TF1T, im Rahmen des Patchstack Bug Bounty Program. Nachdem das Problem am 16. Juli 2026 an Elementor Pro gemeldet worden war, erschien am 19. August mit Version 4.2.2 ein Patch.
Die Veröffentlichung erfolgte etwas mehr als eine Woche nach WordPress 7.0.4. Dieses Update schließt eine weitere schwerwiegende Schwachstelle, CVE-2026-65640 mit einem CVSS-Wert von 8,8. Sie ermöglicht Remote Code Execution über den Upload einer präparierten Postscript-Datei durch einen Benutzer mit Author-Rechten oder höher und betrifft WordPress-Core-Versionen von 4.7 bis 7.0.
Patchstack erklärte zu diesem Fehler, das Update ändere die Art, wie WordPress hochgeladene Mediendateien an ImageMagick übergibt, und schließe einen Pfad, über den ein angemeldeter Author einen harmlos wirkenden Bild-Upload in Codeausführung auf dem Server verwandeln könne. Besonders relevant sei das bei Multi-Author-Publikationen, Mitgliedschaftsseiten, Kundenseiten mit Mitwirkenden oder allgemein bei offenen oder locker verwalteten Registrierungen. Auf solchen Seiten sei das Risiko realistisch und nicht nur theoretisch.
Zeitgleich verweisen die Forscher auf die Entdeckung der groß angelegten Operation StopAndProtect. Diese verwandelt tausende kompromittierte WordPress-Websites in eine verteilte Infrastruktur für die Auslieferung von Malware, für Kommando-und-Kontroll-Kommunikation sowie zur Speicherung gestohlener Daten.