2026 年 9 月，WordPress 页面构建插件 Elementor Website Builder 被披露一处高危跨站请求伪造（CSRF）漏洞，CVSS 8.8。只要已登录的管理员点击一条构造好的链接，攻击者无需任何凭据即可为其创建一个新的管理员账号，彻底接管站点。受影响的是 4.3.0 与 4.3.1 两个版本，修复版本 4.3.2 已发布。该插件在超过 1000 万个 WordPress 站点上启用，仅这两个受影响版本的安装量就超过 200 万。
事件概述
- 受影响版本：Elementor 4.3.0、4.3.1；4.3.0 之前的版本不含出问题的 Editor Events 代理模块，不受影响。
- 修复版本：4.3.2，由漏洞披露方协同修复。
- 发现者：安全研究员 Saggre，由 Patchstack 协调披露。
- CVE 状态：披露时尚未分配 CVE 编号。
技术细节
问题出在 Editor Events 模块对 CSRF 保护的判断逻辑上。该模块在检查 cookie 认证的 REST API 请求时，只要请求 URI 中任意位置出现字面量字符串 elementor/v1/events/，就直接跳过 CSRF 校验。而请求 URI 包含查询字符串，查询字符串完全由链接的构造者决定，也就是说任何 REST 请求都可以通过追加一个看起来无害的参数，把自己排除在这层保护之外。
这个绕过覆盖站点整个 REST API 面，包括 WordPress 核心路由和其他所有已安装插件的路由。攻击者利用它创建管理员账号的请求形如：向 /wp-json/wp/v2/users 提交 _method=POST，带上 username、email、password、roles[]=administrator，末尾追加参数 x=elementor/v1/events/。
https://example.com/wp-json/wp/v2/users
?_method=POST
&username=csrfadmin
&email=csrfadmin@example.test
&password=...
&roles[]=administrator
&x=elementor/v1/events/攻击不依赖 JavaScript、表单提交，也不需要攻击者控制的落地页面。链接可以是一个普通锚点标签，放进邮件、聊天消息或评论里即可生效。
影响评估
该漏洞的危险在于把一次社工点击与完整的站点接管直接连通：管理员账号建立后，攻击者可安装插件与主题、修改内容、植入持久化后门，危害等同于任意代码执行。1000 万级的装机基数意味着即便只有很小比例停留在受影响版本，绝对数量依然可观。对于以 WordPress 作为主站的运营方，这类漏洞的修补优先级应排在功能迭代之前。
修复建议
- 将 Elementor 升级到 4.3.2 或更高版本。
- 暂时无法升级时，启用 WAF 规则拦截查询字符串中携带 elementor/v1/events/ 的请求，并限制 /wp-json/wp/v2/users 的 POST 访问。
- 审计现有管理员账号列表，删除来历不明的账户与近期新增的高权限用户。
- 对管理员登录启用双因素认证，降低凭据被二次利用的窗口。