Uma falha de CSRF no Elementor, construtor de sites presente em mais de 10 milhões de instalações WordPress, permite que um invasor crie uma conta de administrador no site alvo. As duas versões afetadas, 4.3.0 e 4.3.1, somam mais de 2 milhões de instalações.
A nota é 8.8 na escala CVSS, o que a coloca na faixa alta de gravidade. Na data da divulgação, em 26 de setembro, a falha não tinha identificador CVE atribuído. A correção saiu na versão 4.3.2, e quem estiver em uma das duas versões afetadas precisa atualizar.
O problema está no módulo Editor Events, que trata de forma incorreta a proteção contra CSRF nas requisições à API REST autenticadas por cookie. O CSRF, ou requisição forjada entre sites, se apoia no fato de o navegador anexar sozinho os cookies de sessão a cada pedido que envia.
O desvio é direto: basta acrescentar elementor/v1/events/ como parâmetro de consulta para que qualquer requisição REST atravesse a verificação, sem que o plugin confira se o pedido partiu mesmo do painel do site.
O ataque não exige formulário, JavaScript nem página controlada pelo invasor. Um link, mesmo uma âncora simples em e-mail ou mensagem, é suficiente. Quando um administrador logado clica, o navegador envia a requisição já autenticada, e numa instalação padrão isso cria uma segunda conta de administrador.
O alcance vai além do próprio plugin. A falha abre toda a superfície da API REST, incluindo rotas do núcleo do WordPress e endpoints de outros plugins instalados no mesmo site.
A descoberta é atribuída a um pesquisador que assina como Saggre, e a correção veio depois de divulgação responsável. Na data da análise não havia registro público de exploração ativa, e a recomendação é conferir a versão instalada antes de supor que o site está coberto.
