Alerta Crítico: Falha no Plugin Elementor do WordPress Permite Criação de Contas de Administrador Maliciosas

A vulnerabilidade de Cross-Site Request Forgery (CSRF) detectada no plugin Elementor, presente nas versões 4.3.0 e 4.3.1, expõe uma falha crítica na segurança de milhões de sites WordPress. O problema reside no módulo Editor Events do Elementor, que burla a validação REST nonce padrão do WordPress. Essa brecha permite que um atacante manipule requisições à REST API, utilizando a sessão autenticada de um administrador legítimo, sem o conhecimento dele.

A exploração da falha é um ataque de "um clique": basta que um administrador logado acesse um link malicioso. Este link, por sua vez, dispara a requisição forjada que cria uma nova conta de administrador controlada pelo atacante, concedendo acesso total ao site. A Patchstack, responsável pela divulgação, enfatiza a simplicidade do ataque, que não exige JavaScript ou uma página web elaborada, podendo ser entregue por e-mail ou mensagem.

Esta falha é alarmante pela sua facilidade de exploração e pelo impacto direto: a total tomada de controle de um site WordPress. Milhões de instalações são potencialmente vulneráveis, pois o Elementor é um dos plugins mais populares do ecossistema. Administradores precisam agir rápido, atualizando para a versão 4.3.2 para impedir que cibercriminosos explorem a brecha e criem acessos privilegiados em seus sistemas.

O incidente reforça a necessidade de vigilância constante sobre plugins, que frequentemente são o vetor de entrada para ataques. Ele ecoa outras vulnerabilidades de "um clique" que o CEVIU News tem reportado, como a falha Click2Shell no WordPress em setembro de 2026, mostrando que administradores ainda são um alvo chave para comprometer sistemas.