Nach Angaben von Patchstack entsteht CVE-2026-32475 im File-Upload-Modul von Elementor Pro durch zwei getrennte Schleifen für Validierung und Verarbeitung, die leere Dateieinträge unterschiedlich behandeln. In dem Bericht erklärt das auf das WordPress-Ökosystem spezialisierte Sicherheitsunternehmen, das Problem bestehe darin, dass beide Schleifen sich nicht einig seien, wie mit einem leeren Dateieintrag umzugehen ist – also einem Upload-Teil mit leerem Dateinamen, den PHP als „UPLOAD_ERR_NO_FILE“ meldet.
Patchstack zufolge haben die Validierungs- und die Verarbeitungsschleife unterschiedliche Logik für den frühen Abbruch bei solchen leeren Einträgen. Ein entsprechend geformter Multipart-Upload könne deshalb von der Prüfung anders bewertet werden als von der Routine, die die Datei verschiebt. Ein Angreifer kann laut den Forschern einen Upload so aufbauen, dass der erste Eintrag einen leeren Dateinamen trägt und danach ein schädlicher PHP-Payload folgt.
Die Folge: Die Validierung beendet sich nach Prüfung des ersten Teils, verwirft ihn wegen „UPLOAD_ERR_NO_FILE“ und untersucht den zweiten Teil gar nicht mehr. Die Verarbeitung überspringt dagegen den leeren Eintrag, geht die restlichen Upload-Bestandteile durch und verschiebt die PHP-Datei aus dem zweiten Teil in das öffentlich erreichbare Verzeichnis „wp-content/uploads/elementor/forms/“.
Wird die hochgeladene Datei anschließend über ihre URL aufgerufen, führt der PHP-Interpreter des Servers ihren Inhalt aus. Damit ist nach Darstellung von Patchstack die Ausführung beliebigen Codes mit den Rechten des Webservers möglich. Für die Ausnutzung reicht es laut Patchstack aus, dass auf der Zielseite ein veröffentlichtes Elementor-Formular mit einem Datei-Upload-Feld vorhanden ist.
Die Forscher verweisen außerdem darauf, dass sich der Dateiname der hochgeladenen PHP-Datei ermitteln lässt, weil er mit der Funktion „uniqid()“ erzeugt wird, die nicht zufallsbasiert, sondern zeitbasiert arbeitet. Der Name des Payloads könne daher per zeitbasiertem Brute-Force bestimmt werden. In manchen Konfigurationen lasse sich die exakte URL auch über eine Autoresponder-E-Mail erhalten.
Elementor Pro ist die kostenpflichtige Version von Elementor, einem weit verbreiteten Drag-and-drop-Website-Builder für WordPress mit mehr als 10 Millionen aktiven Installationen. Die Pro-Version ergänzt Funktionen wie Formularerstellung, Theme- und Popup-Builder, benutzerdefinierten Code und CSS sowie Werkzeuge für den E-Commerce.
Patchstack erhielt nach eigenen Angaben am 16. Juli von dem Entdecker Tin Pham Kenntnis von CVE-2026-32475 und informierte das Elementor-Team. Bereits am nächsten Tag stellte der Plugin-Entwickler einen Fix bereit, den Patchstack am 3. August verifizierte und gestern auslieferte.
Auch Elementor hat seine Abonnenten informiert. Der Hersteller betont, gefährdet seien nur „Websites, die ein Elementor-Pro-Formular mit einem Formularfeld für Dateiupload und aktivierter Option für den Mehrfach-Dateiupload verwenden“. Alle anderen Elementor-Seiten seien nicht betroffen; dennoch empfehle man allen Websites die Aktualisierung auf die neueste Version, um das Risiko von Sicherheits- und Kompatibilitätsproblemen zu verringern.
Patchstack weist darauf hin, dass ein Update keine während des betroffenen Zeitraums hochgeladenen schädlichen Dateien entfernt. Deshalb empfehlen die Forscher neben dem Update auch eine gründliche Prüfung des Verzeichnisses „wp-content/uploads/elementor/forms/“. Hinweise auf aktive Ausnutzung in freier Wildbahn liegen laut Patchstack derzeit nicht vor.