Elementor 4.3.0–4.3.1: CSRF de alto riesgo

Patchstack publicó una vulnerabilidad de falsificación de solicitud entre sitios (CSRF) en Elementor Website Builder, con una puntuación CVSS 8.8, alta. Las versiones afectadas son únicamente 4.3.0 y 4.3.1 y la corrección está disponible desde Elementor 4.3.2. La falla fue descubierta y reportada por el investigador Saggre el 22 de septiembre de 2026.

Qué pasó

El problema está en un módulo de telemetría del editor de Elementor. En las versiones afectadas, el plugin busca la cadena elementor/v1/events/ dentro de la URI completa de una solicitud. Como esa URI incluye los parámetros de la URL, un atacante puede añadir esa cadena a un enlace que en realidad apunta a otro endpoint de WordPress.

Elementor intercepta además la verificación de autenticación de la API REST en una etapa muy temprana y devuelve que la solicitud ya está autenticada. Como consecuencia, se omite la comprobación de nonce que WordPress utiliza para evitar ataques CSRF en operaciones realizadas con la cookie de sesión.

El pilar importante es este: la cuenta de la víctima es la que aporta los permisos. Por eso, el atacante no necesita credenciales propias, pero sí necesita que un administrador u otro usuario registrado abra un enlace preparado para él. La confirmación de Patchstack demuestra que un clic de un administrador puede crear una segunda cuenta con rol administrator. La prueba también mostró acceso a endpoints de configuración del sitio y advierte que el alcance incluye cualquier ruta REST para la que la cuenta de la víctima tenga permisos, incluso si pertenece a otro plugin.

El ataque puede entregarse como un enlace normal en un correo, chat, foro o comentario. No necesita JavaScript ni una página intermediaria controlada por el atacante. Patchstack afirma que el popular constructor visual, activo en más de diez millones de sitios, no informa explotación activa en este aviso, pero sí describe el impacto técnico y publicó reglas de mitigación para sus clientes.

Qué hacer ahora

1. Comprobá la versión inmediatamente. En Escritorio → Plugins → Elementor, verificá qué versión está activa. Si figura 4.3.0 o 4.3.1, actualizá a 4.3.2 o una versión posterior. Hacé una copia de seguridad de archivos y base de datos y, si el sitio es crítico, probá primero en un entorno de staging.
2. Auditá las cuentas administrativas. Apenas termine la actualización, revisá Usuarios → Todos los usuarios. Eliminá cualquier administrador desconocido y comprobá que los correos de las cuentas legítimas sigan bajo control de la empresa. Si encontrás una cuenta no autorizada o una modificación reciente, cambiá las contraseñas relacionadas, cerrá sesiones y pedí una revisión del hosting. Tenés el paso a paso en cómo eliminar un usuario administrador en WordPress.
3. Revisá la actividad del servidor. Buscá solicitudes inesperadas hacia endpoints REST de usuarios o ajustes, especialmente alrededor del momento en que alguien pudo abrir enlaces sospechosos. El acceso normal a wp-admin no genera por sí solo una alerta de compromiso, por lo que la revisión de usuarios y credenciales sigue siendo indispensable.
4. Si no podés actualizar en el momento, desactivá temporalmente la versión afectada de Elementor. Esta medida puede afectar la edición y, en sitios antiguos, la renderización de contenidos construidos con Elementor, por lo que debe coordinarse con el hosting o la agencia. No reemplaza la actualización.
5. Reducí el riesgo humano. Los administradores deberían abrir el panel directamente desde una dirección conocida y no seguir enlaces recibidos por correo o mensajería, aunque parezcan venir del propio sitio. Una sesión administrativa abierta y un clic sobre el enlace son suficientes para ejecutar este ataque.

Qué hacer hoy: verificá Elementor, actualizá a 4.3.2 o superior y auditá las cuentas administrativas. Si el sitio estuvo expuesto, la actualización evita nuevas acciones, pero no deshace cuentas o cambios que un atacante haya logrado crear antes del parche.

Si no podés revisar el sitio vos mismo, podés pedir una auditoría de seguridad WordPress o, si ya encontraste cuentas desconocidas, una recuperación de sitio hackeado. Este ataque es un buen recordatorio de por qué conviene mirar el panorama de ataques WordPress 2026 y no solo esperar el aviso del panel.

Fuente

• Patchstack — Cross-Site Request Forgery in Elementor Plugin Affecting 2 Million+ Sites, 25 de septiembre de 2026