Elementor 漏洞可藉一個連結新增管理員帳號，4.3.2 已修補

CVE-2026-62062 是 Elementor Website Builder（WordPress 網站編輯外掛）中的跨站請求偽造（CSRF）漏洞。攻擊者不必先在目標網站擁有帳號，但必須誘使已登入的管理員點開特製連結，讓管理員瀏覽器借用既有登入狀態執行網站操作；在一般安裝設定下，可能因此新增一個由攻擊者控制的管理員帳號。Elementor 4.3.0 與 4.3.1 被列為受影響版本，4.3.2 已修補此問題。2323

漏洞如何運作？

這類攻擊利用的是管理員已登入的瀏覽器與其權限，而不是攻擊者自行取得管理員登入資格。Patchstack 指出，特製連結可以只是一般超連結，透過電子郵件、聊天訊息或留言傳送；不需要 JavaScript，也不必架設由攻擊者控制的網站。管理員點開連結後，瀏覽器可能以該管理員的工作階段向 REST API 發出請求，執行其權限允許的操作。2

CSRF（跨站請求偽造）指攻擊者誘使已登入的使用者瀏覽器送出請求，讓網站誤以為這是使用者本人發起的操作。這與攻擊者直接登入管理員帳號不同。

受影響版本與 API 路由資訊

安全通報指出，受影響版本為 4.3.0 與 4.3.1；CVE 資料則將影響範圍概括為 4.3.1 及更早版本。Patchstack 與 WPScan 均列出 4.3.2 為修補版本。232326

相關報導將問題描述為繞過 WordPress REST API 的 nonce 驗證。部分二手報導提到，檢查請求 URI 是否包含 elementor/v1/events/ 字串，可能與漏洞有關；但目前可查資料不足以確認完整且經驗證的受影響 REST API 路由名稱清單。1719

嚴重程度與通報時間

CVE 資料將此漏洞評為 8.8（高）。34 BleepingComputer 報導指出，Patchstack 於 2026 年 9 月 22 日通知 Elementor；CVE 資料則於 2026 年 9 月 25 日發布。另有報導稱 4.3.2 於 9 月 24 日推出，而 Patchstack 與 WPScan 均將 4.3.2 列為修補版本。18222326

網站管理者可以怎麼做？

1. 將 Elementor 更新至 4.3.2 或更新版本。 Patchstack 列出的修補版本為 4.3.2，並建議更新以解決漏洞。23
2. 檢查網站管理員帳號。 留意是否出現不認識的管理員帳號；已知攻擊影響包括新增管理員帳號。2
3. 若暫時無法更新，確認是否能啟用 Patchstack 的緩解規則。 Patchstack 表示已發布相關規則，可作為暫時防護；更新外掛仍是修補漏洞的建議做法。223

是否已確認有實際攻擊？

漏洞追蹤資料提到已有概念驗證（PoC），但目前查閱的資料並未證實此漏洞已在真實環境遭到利用。Feedly 的 CVE 頁面標示尚無已知利用情況，CyStack 的資料也未將其列為已知遭利用漏洞。公開 PoC 不等於網站已遭入侵。81113