CVE-2026-32475 затрагивает Elementor Pro версии 4.2.1 и все более ранние, а Wordfence присвоила ей 9,8 балла из 10 по шкале CVSS. Дополнение работает более чем на 6 млн сайтов, поэтому потенциальный масштаб проблемы измеряется миллионами установок.
Уязвимы только те сайты, где опубликована форма Elementor Pro хотя бы с одним необязательным полем File Upload. Плагин обрабатывает содержимое такого поля как массив и при пустом первом элементе досрочно прекращает проверку, из-за чего остальные элементы остаются непроверенными.
Исправление вышло 19 августа в версии 4.2.2, и в тот же день начались первые атаки с пиком активности с 19 по 23 августа. Администраторам советуют обновиться и проверить каталог /wp-content/uploads/elementor/forms/, а также журналы обращений к /wp-admin/admin-ajax.php с параметром elementor_pro_forms_send_form.