[DTT Alerta de seguridad] Vulnerabilidad en Elementor permite crear cuentas de administrador en WordPress

Identificador: DTT-AS-2026-006
Fecha: 28 de septiembre de 2026
Emisor: Laboratorio de Desarrollo y Transferencia de Tecnología (DTT) – UCB Sede Tarija
Nivel de alerta: Alto
Dirigido a: Administradores y editores de sitios WordPress que utilizan Elementor (gratuito o Pro), agencias web e instituciones

Se ha corregido una vulnerabilidad de severidad alta (CVSS 8,8) en Elementor Website Builder, la versión gratuita y base del plugin, que permite a un atacante crear cuentas de administrador y tomar el control de un sitio WordPress. Basta con que un administrador con la sesión iniciada abra un enlace preparado por el atacante, que puede llegar por correo, chat o un comentario.

Afecta a las versiones 4.3.0 y 4.3.1, instaladas en más de 2 millones de sitios. Elementor publicó la corrección en la versión 4.3.2. A la fecha la vulnerabilidad no tiene un identificador CVE asignado y no se ha reportado explotación activa, pero los detalles técnicos ya son públicos. Es la segunda vulnerabilidad importante en Elementor en pocas semanas, tras la alerta DTT-AS-2026-005 sobre Elementor Pro.

Versiones afectadas

Plugin	Versiones afectadas	Versión corregida
Elementor Website Builder	4.3.0 y 4.3.1	4.3.2 o superior
Elementor (anteriores a 4.3.0)	No afectadas (no incluyen el módulo vulnerable)	—

Importante para usuarios de Elementor Pro: Elementor Pro requiere el plugin gratuito, por lo que también queda expuesto si este está en 4.3.0 o 4.3.1. Hay que revisar la versión del plugin «Elementor», no la de «Elementor Pro».

Indicadores de posible compromiso

Cuentas de administrador creadas recientemente que nadie reconoce.
Peticiones a la API REST que contienen la cadena elementor/v1/events/ en un parámetro, dirigidas a otros endpoints (por ejemplo /wp-json/wp/v2/users).
Cambios de configuración, plugins o contenidos que ningún administrador realizó.
Correos o mensajes con enlaces inesperados al propio sitio recibidos por administradores.

Riesgos

Una explotación exitosa puede permitir:

Crear cuentas de administrador para el atacante y tomar el control del sitio.
Ejecutar cualquier acción de la API REST con los permisos de la víctima, incluidas las de otros plugins.
Instalar plugins maliciosos y, a partir de ahí, ejecutar código en el servidor.
Modificar o eliminar contenido y acceder a datos de usuarios.

Recomendaciones

Actualizar Elementor a 4.3.2 o superior en todos los sitios.
Revisar los usuarios con rol de administrador y eliminar las cuentas desconocidas. Actualizar no elimina cuentas creadas antes del parche.
Si hay cuentas sospechosas, considerar el sitio comprometido: cambiar contraseñas de WordPress, base de datos, FTP/SSH y claves API, y revisar los registros en busca de peticiones REST inusuales.
No abrir enlaces inesperados mientras se tiene la sesión de administrador activa, y cerrar sesión cuando no se esté gestionando el sitio.
Usar cuentas con el rol mínimo necesario para el trabajo diario (por ejemplo, Editor en lugar de Administrador).
Activar un WAF o parcheo virtual mientras se actualizan varios sitios.

Comandos de verificación (WP-CLI)

# Versión del plugin gratuito Elementor
wp plugin get elementor --field=version

# Administradores ordenados por fecha de registro
wp user list --role=administrator --fields=ID,user_login,user_email,user_registered --orderby=registered --order=DESC

# Buscar el patrón de explotación en los registros
grep "elementor/v1/events" /var/log/apache2/access.log

Detalles técnicos

Falsificación de petición en sitios cruzados (CSRF, CWE‑352) en el módulo Editor Events

La versión 4.3.0 incorporó el módulo Editor Events. Este módulo desactiva la validación de nonce de WordPress, la protección contra CSRF, en cualquier petición a la API REST autenticada por cookie cuya URI contenga la cadena elementor/v1/events/.

Como la URI incluye la cadena de consulta, que controla quien crea el enlace, cualquier petición REST puede evadir la protección añadiendo un parámetro aparentemente inofensivo con esa cadena. El efecto alcanza a toda la API REST del sitio, incluidas las rutas del núcleo de WordPress y de otros plugins. En una instalación estándar, si un administrador abre el enlace, el atacante puede crear una segunda cuenta de administrador mediante la ruta de usuarios de la API. No se necesita JavaScript ni una página controlada por el atacante: un simple enlace basta.

Dato	Valor
CVE	Pendiente de asignación
Tipo	CWE‑352, falsificación de petición en sitios cruzados (CSRF)
CVSS	8,8 (Alta)
Requisito	Un usuario con privilegios y sesión iniciada abre un enlace preparado
Descubrimiento	Investigador «Saggre», reportado mediante Patchstack
Explotación activa	No reportada

Cronología

Versión 4.3.0: Elementor introduce el módulo Editor Events con el fallo.
25 de septiembre de 2026: Elementor publica la versión 4.3.2 y notifica a sus clientes.
26 de septiembre de 2026: difusión pública de los detalles técnicos.

En resumen

Confirmado

Elementor 4.3.0 y 4.3.1 permiten eludir la protección CSRF de toda la API REST de WordPress.
Un administrador que abra un enlace preparado puede terminar creando una cuenta de administrador para el atacante.
Está corregida en Elementor 4.3.2.
Los sitios con Elementor Pro también están expuestos si el plugin gratuito está en una versión afectada.

No confirmado

Explotación activa en ataques reales.
El identificador CVE definitivo.
El número de sitios afectados en Bolivia.

Articulo UCB