Критическая уязвимость в Elementor Pro: загрузка файлов без проверки

Попался материал про критическую уязвимость в Elementor Pro — возможность загружать файлы без проверки, даже если пользователь не авторизован. Затрагивает все версии до 4.2.1, если на сайте есть форма с полем загрузки, которое не помечено как обязательное. Уязвимость оценена как 9.8 по шкале CVSS — критическая. Уязвимость позволяет загружать вредоносные PHP-файлы, что даёт полный контроль над сайтом.

Прочитал у Wordfence, что в Elementor Pro до версии 4.2.1 есть уязвимость, позволяющая загружать файлы без проверки типа и размера. Это происходит, если форма содержит поле загрузки, не отмеченное как обязательное. Атакующий может отправить массив с пустым первым элементом и вредоносным файлом во втором — валидация прерывается на первом, и второй проходит без проверки. Уязвимость позволяет загружать PHP-файлы, что ведёт к выполнению произвольного кода. Поправили в версии 4.2.2.

Считаю, что это не просто «ещё одна уязвимость» — это входная точка, которую боты сканируют массово. Если сайт не обновлён, он попадает в список вредоносных через пару дней. Никакой защиты не хватит, если не закрыть причину. Игнорировать — значит доверить чужому коду контроль над сайтом.

Уже начал проверять у клиентов, кто использует Elementor Pro. У тех, у кого версия ниже 4.2.2 — ставлю в план на неделю. У кого уже есть 4.2.2 — проверяю, что обновление применено. У кого нет — предупреждаю, что рискуем потерять трафик и доверие. Пока не тороплюсь с автоматическими обновлениями — проверяю, не сломалось ли что-то в кастомных шаблонах.