Der Fehler steckt in der Validierungslogik für Formular-Uploads. Einreichungen durchlaufen zwar die Prüf- und Verarbeitungsmechanismen des Plugins, doch sobald die Validierungsschleife auf einen als leer markierten Upload-Platz trifft, löst sie einen Fehler aus und kehrt zurück — die Prüfung der übrigen Dateien im selben Feld wird damit abgebrochen.
Korrekt wäre, den leeren Eintrag zu überspringen und mit den restlichen Dateien fortzufahren. Stattdessen werden die verbleibenden Uploads desselben Formularfelds nie geprüft. Ein Angreifer kann das Upload-Feld deshalb als Array mit zwei Bestandteilen übermitteln: zuerst ein leerer Platz, der den vorzeitigen Abbruch auslöst, danach eine PHP-Nutzlast, die ohne jede Validierung durchgereicht wird.
Da die Funktion zur Feldverarbeitung den leeren Platz sauber überspringt und den zweiten, ungeprüften Teil ganz normal weiterverarbeitet, landet die vom Angreifer gelieferte Datei auf der Festplatte. „Im Ergebnis kann ein nicht authentifizierter Angreifer die hochgeladene Datei abrufen und damit seine PHP-Nutzlast auf dem Server ausführen“, erklärt Defiant. Das könne zur vollständigen Kompromittierung der Website führen.
Bei erfolgreicher Ausnutzung wird die PHP-Datei im Verzeichnis /wp-content/uploads/elementor/forms/ abgelegt, in dem das Plugin hochgeladene Formularinhalte speichert. Defiant rät Administratoren, dieses Verzeichnis auf PHP-Dateien zu prüfen — deren bloße Anwesenheit gilt als deutlicher Kompromittierungsindikator. Zusätzlich sollten die Protokolle auf Anfragen an /wp-admin/admin-ajax.php durchgesehen werden. Finden sich Hinweise auf einen erfolgreichen Angriff, ist die Seite auf Hintertüren zu untersuchen.
Die Ausnutzung setzte laut Defiant unmittelbar nach Erscheinen der Korrektur ein — ein Muster, das die Sicherheitsfirma anhand von mehr als 190.000 blockierten Angriffsversuchen belegt. Wie viele der über sechs Millionen aktiven Elementor-Pro-Installationen tatsächlich betroffen sind, lässt sich nicht beziffern. WordPress-Daten zufolge liefen mit Stand 4. September rund zwei Drittel der zehn Millionen Elementor-Installationen auf einer verwundbaren Plugin-Version.
Betreibern bleibt als Gegenmaßnahme das Update auf Elementor Pro 4.2.2, das die fehlerhafte Validierungsschleife korrigiert.