الإشعار (من خريطة المصدر)

elementor/core/common/modules/events-manager/rest-api/events-proxy-rest-api.php is_own_route_request. يستخدم 4.3.2 بادئة rest_route بدلاً من REQUEST_URI الخام.

المدخل

• Method: POST
• Path: /?rest_route=/wp/v2/users&x=elementor/v1/events/
• Router: CSRF بدون مصادقة. Elementor Events_Proxy_REST_API.bypass_nonce_check_for_own_routes على rest_authentication_errors. is_own_route_request strpos REQUEST_URI.
• Notes: CVE-2026-62062 بدون مصادقة CWE-352 Elementor 4.3.1. الشاهد: 201 JSON slug=csrfadmin-* roles administrator. التحكم POST بدون السلسلة الفرعية في URI هو rest_cookie_invalid_nonce. ليس reverse shell.

سلسلة الاستدعاء

• victim admin has wordpress_logged_in cookie
• POST /?rest_route=/wp/v2/users&x=elementor/v1/events/ JSON roles=administrator, no X-WP-Nonce
• Events_Proxy_REST_API.is_own_route_request strpos REQUEST_URI
• rest_authentication_errors returns true; rest_cookie_check_errors skips nonce
• wp/v2/users create_item as the victim administrator

الشروط المسبقة للمختبر

• Elementor 4.3.0 أو 4.3.1 نشط
• جلسة كوكي مسؤول (UI:R) تزور الرابط / متصفحهم يرسل POST

الشاهد

POST مع كوكيز المسؤول وبدون nonce: 401 بدون السلسلة الفرعية في URI؛ 201 مستخدم administrator مع x=elementor/v1/events/.

ليس نجاحًا

• 401 rest_cookie_invalid_nonce على رابط الهجوم
• إنشاء مستخدم بدون تجاوز URI
• reverse shell

الترقيع / المعالجة

افعل هذا أولاً: حدّث Elementor Website Builder إلى 4.3.2 أو أحدث.

تحقق بعد الترقية

• أعد تشغيل CVE-2026-62062-Abraxas-Labs.py مقابل البناء المرقّع: يجب ألا يظهر الشاهد المُعيَّن.
• أكّد إشعار المورّد / changeset في الشجرة المنشورة (انظر المراجع).
• توقيع WAF هو تأخير، وليس ترقيعًا.

إذا لم تستطع التحديث فورًا

• عطّل أو اعزل المكوّن المتأثر.
• ابحث عن حالة الشاهد في الإنتاج (مستخدمون مميزون جدد، ملفات غير متوقعة، صفوف مُدخلة — أي شيء تسميه خريطة هذه الثغرة).

إعادة الإنتاج (مختبر مصرّح به)

استهدف فقط http://127.0.0.1:8088 (أو الـ loopback الذي ربطته). لا توجّه هذا السكربت إلى الإنترنت.

النجاح هو الشاهد أعلاه في جسم الاستجابة. استجابة 200 HTML عامة ليست كذلك.

صور المختبر

حزمة loopback المستخدمة لإعادة الإنتاج. صور رسمية ما لم يبنِ Dockerfile في هذا المجلد من المصدر.

• lab/docker-compose.yml
• lab/Dockerfile

اربط شجرة المنتج المتأثر بجانب Compose إذا كان ملف YAML يربط دليلًا محليًا (plugin zip / source tag من جدول الإصدارات). لا تنشر شيئًا عدا 127.0.0.1.

المراجع

• CVE-2026-62062 · NVD

• CVE-2026-62062 · CVE.org

• www.wordfence.com/threat-intel/vulnerabilities/wordpress-plugins/elementor/elementor-website-builder-430-431-cross-site-request-forgery-via-rest-nonce-bypass-to-privilege-escalation

• patchstack.com/database/wordpress/plugin/elementor/vulnerability/wordpress-elementor-website-builder-plugin-4-3-1-cross-site-request-forgery-csrf-vulnerability

• www.cve.org/CVERecord?id=CVE-2026-62062

• patchstack.com/database/wordpress/plugin/elementor/vulnerability/wordpress-elementor-website-builder-plugin-4-3-1-cross-site-request-forgery-csrf-vulnerability?_s_id=cve

• دليل الإضافات: elementor

• متصفح Trac: plugins.trac.wordpress.org/elementor

• وسوم SVN: plugins.svn.wordpress.org/elementor

• Abraxas Labs: abraxaslabs.tech · github.com/abraxas · @abraxas_null

السجلات (منظمة)

الترخيص

هذه الحزمة الإفصاحية مرخّصة بموجب GNU Affero General Public License v3.0. انظر LICENSE.

إخلاء المسؤولية

هذه الحزمة مخصّصة للمورّد، ومالك الموقع، والمختبرات المرخّصة. يتحدث السكربت إلى 127.0.0.1. استخدامه ضد أنظمة لا تملكها غير مصرّح به من Abraxas Labs. لا ضمان.

abraxaslabs.tech · github.com/abraxas · @abraxas_null