Advisory (स्रोत मैप से)

elementor/core/common/modules/events-manager/rest-api/events-proxy-rest-api.php is_own_route_request. 4.3.2 कच्चे REQUEST_URI के बजाय rest_route prefix का उपयोग करता है।

Entry

• Method: POST
• Path: /?rest_route=/wp/v2/users&x=elementor/v1/events/
• Router: Unauthenticated CSRF. Elementor Events_Proxy_REST_API.bypass_nonce_check_for_own_routes on rest_authentication_errors. is_own_route_request strpos REQUEST_URI.
• Notes: Unauthenticated CVE-2026-62062 CWE-352 Elementor 4.3.1. Witness: 201 JSON slug=csrfadmin-* roles administrator. Control POST without the URI substring is rest_cookie_invalid_nonce. Not a reverse shell.

Call chain

• victim admin has wordpress_logged_in cookie
• POST /?rest_route=/wp/v2/users&x=elementor/v1/events/ JSON roles=administrator, no X-WP-Nonce
• Events_Proxy_REST_API.is_own_route_request strpos REQUEST_URI
• rest_authentication_errors returns true; rest_cookie_check_errors skips nonce
• wp/v2/users create_item as the victim administrator

Lab preconditions

• Elementor 4.3.0 या 4.3.1 सक्रिय
• Administrator cookie session (UI:R) URL पर जाता है / उनका ब्राउज़र POST भेजता है

Witness

admin cookies के साथ और बिना nonce के POST: URI substring के बिना 401; x=elementor/v1/events/ के साथ 201 administrator user.

Not success

• attack URL पर 401 rest_cookie_invalid_nonce
• URI bypass के बिना बनाया गया user
• reverse shell

Patch / remediation

पहले यह करें: Elementor Website Builder को 4.3.2 या नए संस्करण में अपडेट करें।

अपग्रेड के बाद सत्यापित करें

• patched build के विरुद्ध CVE-2026-62062-Abraxas-Labs.py दोबारा चलाएँ: mapped witness नहीं दिखना चाहिए।
• deployed tree में vendor advisory / changeset की पुष्टि करें (references देखें)।
• WAF signature देरी है, patch नहीं।

यदि आप तुरंत अपडेट नहीं कर सकते

• प्रभावित component को अक्षम या अलग करें।
• production पर witness condition की खोज करें (नए privileged users, अप्रत्याशित files, injected rows — जो भी इस CVE का map नाम देता है)।

Reproduction (authorized lab)

लक्ष्य केवल http://127.0.0.1:8088 (या जो loopback आपने bind किया है)। इस script को इंटरनेट पर न लक्षित करें।

सफलता response body में ऊपर दिया गया witness है। सामान्य 200 HTML नहीं।

Lab images

प्रतिलिपि के लिए उपयोग किया गया loopback stack। आधिकारिक images, जब तक इस फ़ोल्डर में Dockerfile स्रोत से build न करे।

• lab/docker-compose.yml
• lab/Dockerfile

यदि YAML स्थानीय directory mount करता है तो vulnerable product tree को Compose के बगल में bind करें (version table से plugin zip / source tag)। 127.0.0.1 के अलावा कुछ publish न करें।

References

• CVE-2026-62062 · NVD

• CVE-2026-62062 · CVE.org

• www.wordfence.com/threat-intel/vulnerabilities/wordpress-plugins/elementor/elementor-website-builder-430-431-cross-site-request-forgery-via-rest-nonce-bypass-to-privilege-escalation

• patchstack.com/database/wordpress/plugin/elementor/vulnerability/wordpress-elementor-website-builder-plugin-4-3-1-cross-site-request-forgery-csrf-vulnerability

• www.cve.org/CVERecord?id=CVE-2026-62062

• patchstack.com/database/wordpress/plugin/elementor/vulnerability/wordpress-elementor-website-builder-plugin-4-3-1-cross-site-request-forgery-csrf-vulnerability?_s_id=cve

• Plugin directory: elementor

• Trac browser: plugins.trac.wordpress.org/elementor

• SVN tags: plugins.svn.wordpress.org/elementor

• Abraxas Labs: abraxaslabs.tech · github.com/abraxas · @abraxas_null

Records (structured)

License

यह disclosure pack GNU Affero General Public License v3.0 के अंतर्गत लाइसेंस प्राप्त है। देखें LICENSE।

Disclaimer

यह pack vendor, site owner, और licensed labs के लिए है। Script 127.0.0.1 से बात करता है। जिन systems के आप मालिक नहीं हैं उनके विरुद्ध इसका उपयोग Abraxas Labs द्वारा अधिकृत नहीं है। कोई वारंटी नहीं।

abraxaslabs.tech · github.com/abraxas · @abraxas_null