En enda länk kan skapa ett nytt administratörskonto i Elementor

CVE-2026-62062 är en sårbarhet av typen cross-site request forgery (CSRF) i tillägget Elementor Website Builder för WordPress. En angripare utan konto på webbplatsen kan locka en redan inloggad administratör att öppna en manipulerad länk. Webbläsaren kan då skicka en begäran med administratörens session och behörigheter – på en standardinstallation kan det leda till att ett nytt administratörskonto skapas och hamnar under angriparens kontroll. 2323

Så fungerar angreppet

Angriparen behöver inte logga in på webbplatsen. Däremot måste en administratör vara inloggad och öppna länken. Enligt Patchstack kan länken vara en vanlig klickbar länk i exempelvis ett mejl, en chatt eller en kommentar. Det behövs varken JavaScript eller en webbsida som angriparen själv kontrollerar. 2

Det här är en CSRF-attack: webbläsaren luras att skicka en begäran som den inloggade användaren har behörighet att göra. Det innebär inte att angriparen loggar in som administratör på egen hand.

Berörda versioner och REST API-rutter

Säkerhetsrapporter pekar ut Elementor 4.3.0 och 4.3.1 som berörda. Felet anges vara åtgärdat i version 4.3.2. CVE-poster beskriver det berörda intervallet bredare som versioner till och med 4.3.1. 2323

Rapporterna beskriver felet som en förbikoppling av WordPress REST API:s nonce-kontroll. Vissa andrahandsrapporter nämner en kontroll av URI-strängen elementor/v1/events/, men det tillgängliga underlaget fastställer inte en komplett och verifierad lista över berörda REST API-rutter. 1719

Allvarlighetsgrad och tidslinje

CVE-2026-62062 har fått betyget 8,8 – hög allvarlighetsgrad. 34 BleepingComputer uppger att Patchstack informerade Elementor den 22 september 2026, och CVE-posten publicerades den 25 september 2026. En andrahandsrapport anger att version 4.3.2 släpptes den 24 september; Patchstack och WPScan pekar ut 4.3.2 som den åtgärdade versionen. 18222326

Det här bör webbplatsägare göra

1. Uppdatera Elementor till version 4.3.2 eller senare. Det är den åtgärd Patchstack rekommenderar för att lösa sårbarheten. 23
2. Gå igenom administratörskontona. Undersök konton du inte känner igen, eftersom den rapporterade konsekvensen kan vara att ett nytt administratörskonto skapas. 2
3. Om du inte kan uppdatera direkt, kontrollera om Patchstacks skyddsregel finns tillgänglig för dig. Patchstack uppger att de har utfärdat tillfälliga skyddsregler, men rekommenderar uppdatering för att åtgärda felet. 223

Finns det tecken på angrepp i praktiken?

Sårbarhetskällor rapporterar att det finns ett proof of concept, alltså ett exempel som visar hur felet kan utnyttjas. Det underlag som har granskats här bekräftar däremot inte att sårbarheten har utnyttjats i verkliga angrepp. Feedlys CVE-post anger ingen exploatering, och CyStacks databas visar ingen känd post för exploaterade sårbarheter. Att ett proof of concept har publicerats är inte i sig ett bevis på att en webbplats har angripits. 81113