CVE-2026-32475 — Elementor Pro 表单未认证任意文件上传 → RCE

一个A/B Docker实验环境，用于复现CVE-2026-32475（CVSS 9.x，Patchstack；Elementor Pro 表单文件上传字段，受影响版本 ≤ 4.2.1，2026-08-19在4.2.2中修复；由 Tin Pham / TF1T报告）。未认证，无需用户交互。

仅限授权测试/教育用途。 本实验环境完全运行在127.0.0.1上的一次性 Docker容器中。请勿将PoC指向未经明确授权测试的系统。 build.sh从公共GPL镜像获取Elementor Pro源码；本仓库不重新分发任何付费代码。

根本原因 — 验证/移动循环不同步

modules/forms/fields/upload.php。两个循环遍历相同的重塑后 $_FILES['form_fields'][$id]，但对空部分（UPLOAD_ERR_NO_FILE）的处理方式不同：

// validation()  — 约第269行
foreach ( $_FILES['form_fields'][ $id ] as $index => $file ) {
    if ( ! $field['required'] && UPLOAD_ERR_NO_FILE === $file['error'] ) {
        return;                         // <-- 放弃该字段的所有剩余验证
    }
    ...
    if ( ! $this->is_file_type_valid( $field, $file ) ) {           // 扩展名允许/拒绝列表
        $ajax_handler->add_error( $id, 'This file type is not allowed.' );
    }
}

// process_field() — 约第418行
foreach ( $_FILES['form_fields'][ $id ] as $index => $file ) {
    if ( UPLOAD_ERR_NO_FILE === $file['error'] ) {
        continue;                       // <-- 仅跳过空部分，继续处理
    }
    $filename  = uniqid() . '.' . pathinfo( $file['name'], PATHINFO_EXTENSION ); // 攻击者扩展名，无重新检查
    move_uploaded_file( $file['tmp_name'], trailingslashit( $uploads_dir ) . $filename );
}

服务	端口	Elementor Pro
`wp-vuln`	http://127.0.0.1:8975	3.6.4 — 易受攻击（真实代码树；`validation()`不同步与≤4.2.1相同）
`wp-patched`	http://127.0.0.1:8976	3.6.4，带有4.2.2等效修复（`return` → `continue`，对齐循环）

cve-2026-32475-elementor-pro-lab

最受欢迎

为什么是RCE，而不仅仅是写入

唯一前提条件

文件名恢复（完全远程，无需文件系统访问）

实验环境布局

构建与运行

漏洞利用

文件

清理/拆除