Уязвимость в Elementor: админ за клик по ссылке

Обсуждали с коллегами статью про уязвимость в Elementor — оказалось, что в двух версиях можно было создать админа только по клику. Никаких форм, скриптов или страниц не нужно. Всё — в одной ссылке, которую можно отправить в чат или письмо. И это затрагивает миллионы сайтов.

Прочитал у Patchstack, что в Elementor 4.3.0 и 4.3.1 есть уязвимость типа CSRF с повышением привилегий. Если админ кликнет по ссылке с параметром, содержащим elementor/v1/events/, система пропускает проверку подлинности. В результате — создание нового админа без ввода пароля. Уязвимость работает даже без JavaScript, через обычный в письме или чате. Потенциально затрагивает все сайты с этим плагином, особенно если они на версии 4.3.0 или 4.3.1 и не меняли настройки.

Считаю, что самое опасное — не сама уязвимость, а то, как она работает. Никаких вредоносных файлов, никаких скриптов. Просто ссылка. И это делает её почти невидимой для стандартных проверок. Пользователь не понимает, что кликнул — и уже не может вернуться. А админка ушла. Это не просто «взлом», это обход защиты, который работает по умолчанию.

Я уже проверил всех клиентов с Elementor — тех, кто на 4.3.0 или 4.3.1. У всех обновил. У тех, кто на более новых версиях — проверил, что эксперимент не включён. У кого не обновили — поставил в план на неделю. Уже не думаю, что это «возможно» — это «уже случилось». И если у вас в системе есть админ, который не помнит, как попал, — проверьте, не был ли он создан через REST API с параметром elementor/v1/events/. Это не про «хакеров», а про то, что система сама сняла защиту.