CVE-2026-32475 — Elementor Pro Forms の認証なし任意ファイルアップロード → RCE

CVE-2026-32475（CVSS 9.x、Patchstack 報告、Elementor Pro Forms の File Upload フィールド、影響を受けるバージョン ≤ 4.2.1、4.2.2 で 2026-08-19 に修正、Tin Pham / TF1T 氏による報告）を再現する A/B Docker ラボ。認証なし、ユーザー操作なし。

認可されたテスト／教育目的のみ。 このラボは使い捨ての Docker コンテナ内で完全に 127.0.0.1 上で動作します。明示的にテストを許可されていないシステムに PoC を向けないでください。build.sh は公開 GPL ミラーから Elementor Pro のソースを取得します。このリポジトリにはプレミアムコードは再配布されていません。

根本原因 — 検証／移動ループの不整合

modules/forms/fields/upload.php。2 つのループが同じ再形成済みの $_FILES['form_fields'][$id] を反復処理しますが、空の部分（UPLOAD_ERR_NO_FILE）の扱いが異なります：

// validation()  — 行 ~269
foreach ( $_FILES['form_fields'][ $id ] as $index => $file ) {
    if ( ! $field['required'] && UPLOAD_ERR_NO_FILE === $file['error'] ) {
        return;                         // <-- このフィールドの残りの検証をすべて放棄
    }
    ...
    if ( ! $this->is_file_type_valid( $field, $file ) ) {           // 拡張子の許可／拒否リスト
        $ajax_handler->add_error( $id, 'This file type is not allowed.' );
    }
}

// process_field() — 行 ~418
foreach ( $_FILES['form_fields'][ $id ] as $index => $file ) {
    if ( UPLOAD_ERR_NO_FILE === $file['error'] ) {
        continue;                       // <-- 空の部分のみスキップし、処理を継続
    }
    $filename  = uniqid() . '.' . pathinfo( $file['name'], PATHINFO_EXTENSION ); // 攻撃者の拡張子、再チェックなし
    move_uploaded_file( $file['tmp_name'], trailingslashit( $uploads_dir ) . $filename );
}

サービス	ポート	Elementor Pro
`wp-vuln`	http://127.0.0.1:8975	3.6.4 — 脆弱（正規ツリー、`validation()` の不整合は ≤4.2.1 と同一）
`wp-patched`	http://127.0.0.1:8976	3.6.4 に 4.2.2 相当の修正（`return` → `continue`、ループの整合）を適用

cve-2026-32475-elementor-pro-lab

人気

書き込みだけでなく RCE である理由

唯一の前提条件

ファイル名の復元（完全リモート、ファイルシステムアクセスなし）

ラボ構成

ビルドと実行

エクスプロイト

ファイル

クリーンアップ／破棄