CVE-2026-62062: lỗi Elementor CSRF có thể tạo tài khoản admin giả mạo

Một lỗ hổng CSRF nghiêm trọng trong plugin Elementor Website Builder có thể cho phép attacker chiếm quyền website WordPress nếu lừa được quản trị viên đang đăng nhập click vào một liên kết độc hại. Lỗi ảnh hưởng đến Elementor 4.3.0 và 4.3.1, đã được vá trong bản 4.3.2.

Bài viết này được biên soạn lại theo hướng thực hành quản trị WordPress, dựa trên The Hacker News, Patchstack và CVE Record.

Tóm tắt nhanh

Lỗ hổng này nguy hiểm ở điểm nào?

CSRF là lỗi khiến trình duyệt của nạn nhân tự gửi một request mà nạn nhân không chủ ý. Với WordPress, khi admin đang đăng nhập, cookie phiên đăng nhập sẽ tự đi kèm request. Nếu request đó vượt qua lớp kiểm tra nonce, website có thể hiểu nhầm rằng chính admin đang thực hiện hành động hợp lệ.

Trong trường hợp Elementor 4.3.0–4.3.1, attacker không cần đăng nhập vào website. Họ chỉ cần tạo một URL đặc biệt rồi dụ admin click. Nếu admin đang đăng nhập WordPress, request có thể được thực thi với quyền của admin. Trên một website mặc định, kịch bản được Patchstack mô tả là tạo thêm một tài khoản administrator do attacker kiểm soát.

Nguyên nhân kỹ thuật

Theo phân tích của Patchstack, lỗi nằm trong module Editor Events của Elementor. Module này muốn bỏ qua nonce check cho route nội bộ elementor/v1/events/, nhưng lại kiểm tra chuỗi $_SERVER['REQUEST_URI'] theo kiểu tìm substring.

// Elementor 4.3.0 - 4.3.1
public function bypass_nonce_check_for_own_routes( $result ) {
    if ( $this->is_own_route_request() ) {
        return true;
    }

    return $result;
}

private function is_own_route_request(): bool {
    $request_uri = Utils::get_super_global_value( $_SERVER, 'REQUEST_URI' ) ?? '';

    // API_NAMESPACE = 'elementor/v1', API_BASE = 'events'
    return false !== strpos( $request_uri, self::API_NAMESPACE . '/' . self::API_BASE . '/' );
}

Vấn đề là REQUEST_URI bao gồm cả query string, mà query string hoàn toàn do attacker kiểm soát. Vì vậy một request không hề gọi route Elementor vẫn có thể thêm tham số chứa chuỗi elementor/v1/events/ để đánh lừa logic kiểm tra.

Ví dụ request có thể bị lợi dụng

Patchstack mô tả rằng attacker có thể nhắm vào endpoint tạo user của WordPress REST API. Ví dụ minh họa bên dưới cho thấy điểm nguy hiểm: chỉ cần thêm tham số x=elementor/v1/events/ là request có thể bị xem như đã vượt qua lớp nonce trong bối cảnh admin đang đăng nhập.

https://example.com/wp-json/wp/v2/users
?_method=POST
&username=csrfadmin
&email=csrfadmin%40example.test
&password=StrongPasswordHere
&roles%5B%5D=administrator
&x=elementor/v1/events/

Điểm đáng sợ là kịch bản này không cần JavaScript, không cần form HTML và không cần attacker kiểm soát một website riêng. Một link trong email, tin nhắn chat hoặc bình luận cũng có thể đủ để kích hoạt nếu admin click khi đang đăng nhập.

Vì sao bypass ảnh hưởng toàn bộ REST API?

Lỗi không chỉ giới hạn trong endpoint của Elementor. Hook rest_authentication_errors chạy rất sớm trong quá trình xử lý REST API. Khi Elementor trả về true, WordPress hiểu rằng authentication đã thành công và bỏ qua bước kiểm tra REST nonce.

// WordPress core - rest_cookie_check_errors()
function rest_cookie_check_errors( $result ) {
    if ( ! empty( $result ) ) {
        return $result;
    }

    // Nếu Elementor đã return true trước đó,
    // phần kiểm tra wp_rest nonce sẽ không được chạy.
    $result = wp_verify_nonce( $nonce, 'wp_rest' );
}

Phần phân quyền của từng route vẫn còn hiệu lực, nhưng quyền được lấy theo user đang đăng nhập. Nếu nạn nhân là administrator, attacker có thể kích hoạt các hành động mà administrator được phép thực hiện thông qua REST API.

Elementor đã vá như thế nào?

Trong Elementor 4.3.2, logic kiểm tra không còn dựa vào raw REQUEST_URI. Thay vào đó, plugin kiểm tra route REST đã được WordPress resolve trong $wp->query_vars['rest_route'] và bắt buộc namespace phải nằm ở đầu route.

// Elementor 4.3.2
private function is_own_route_request(): bool {
    global $wp;

    $route = $wp->query_vars['rest_route'] ?? null;

    if ( ! is_string( $route ) ) {
        return false;
    }

    return 0 === strpos( $route, '/' . self::API_NAMESPACE . '/' . self::API_BASE . '/' );
}

Cách vá này xử lý đúng hai vấn đề: dùng route đã được WordPress xác định thay vì chuỗi URL thô, và so sánh có neo ở đầu route thay vì tìm substring ở bất kỳ vị trí nào.

Cách kiểm tra website có bị ảnh hưởng không

Nếu có SSH/WP-CLI, có thể kiểm tra nhanh bằng các lệnh read-only sau:

cd /path/to/wordpress
wp plugin list --allow-root | grep -i elementor
wp plugin get elementor --field=version --allow-root

Website có nguy cơ nếu plugin elementor đang ở phiên bản 4.3.0 hoặc 4.3.1. Các bản trước 4.3.0 không có Editor Events proxy nên không bị ảnh hưởng bởi lỗi cụ thể này, nhưng vẫn nên duy trì cập nhật bảo mật bình thường.

Fix tạm nếu chưa thể cập nhật Elementor ngay

Khuyến nghị chính vẫn là cập nhật Elementor lên 4.3.2 hoặc mới hơn. Các biện pháp dưới đây chỉ dùng để giảm rủi ro trong thời gian chờ bảo trì, không thay thế bản vá chính thức.

1. Chặn query string chứa elementor/v1/events/ ở Cloudflare WAF

Kịch bản khai thác lợi dụng việc thêm chuỗi elementor/v1/events/ vào query string để bypass REST nonce. Nếu website đi qua Cloudflare, có thể tạo Custom Rule chặn các request có query chứa chuỗi này.

(http.request.uri.query contains "elementor/v1/events/") or
(http.request.uri.query contains "elementor%2Fv1%2Fevents%2F") or
(http.request.uri.query contains "elementor%2fv1%2fevents%2f")

Action nên đặt là Block. Cách này có ưu điểm là chặn trước khi request vào server, dễ bật/tắt và không sửa source WordPress.

2. Apache / .htaccess mitigation

Nếu website chạy Apache hoặc LiteSpeed có hỗ trợ rewrite trong .htaccess, có thể thêm block sau lên đầu file .htaccess, trước block WordPress. Trước khi sửa cần backup file hiện tại.

# DTQ TEMP MITIGATION - Elementor CSRF CVE-2026-62062
<IfModule mod_rewrite.c>
RewriteEngine On

RewriteCond %{QUERY_STRING} elementor/v1/events/ [NC,OR]
RewriteCond %{QUERY_STRING} elementor%2Fv1%2Fevents%2F [NC]
RewriteRule ^ - [F,L]
</IfModule>
# END DTQ TEMP MITIGATION

3. Nginx mitigation

Với Nginx, có thể chặn tạm trong block server {} của domain. Sau khi thêm cần chạy nginx -t trước khi reload.

# DTQ TEMP MITIGATION - Elementor CSRF CVE-2026-62062
if ($args ~* "elementor/v1/events/|elementor%2Fv1%2Fevents%2F") {
    return 403;
}
# END DTQ TEMP MITIGATION

4. Test sau khi bật mitigation

Sau khi thêm rule, kiểm tra bằng request mô phỏng. Nếu rule hoạt động, response nên là 403 Forbidden.

curl -I 'https://domain.com/wp-json/wp/v2/users?_method=POST&x=elementor/v1/events/'

Giới hạn của fix tạm

• Rule tạm chỉ giảm rủi ro theo chuỗi khai thác đã biết, không đảm bảo che phủ mọi biến thể.
• Nếu request không đi qua Cloudflare hoặc rule web server không được áp dụng đúng vhost, mitigation không có tác dụng.
• Không nên dùng fix tạm để trì hoãn cập nhật Elementor lâu dài.
• Sau khi cập nhật Elementor 4.3.2+, vẫn nên rà soát tài khoản admin lạ và application password.

Cách cập nhật an toàn

Trên website production, nên backup trước khi cập nhật plugin. Elementor là page builder ảnh hưởng trực tiếp đến giao diện, vì vậy sau khi cập nhật cần kiểm tra trang chủ, landing page, template, form và các widget quan trọng.

cd /path/to/wordpress

# Backup database trước khi cập nhật
wp db export ~/backup-db-before-elementor-$(date +%F-%H%M%S).sql --allow-root
chmod 600 ~/backup-db-before-elementor-*.sql

# Cập nhật Elementor
wp plugin update elementor --allow-root

# Kiểm tra lại phiên bản
wp plugin get elementor --field=version --allow-root

Sau khi cập nhật nên rà soát gì?

Nếu website từng chạy Elementor 4.3.0 hoặc 4.3.1 trong thời gian public, nên kiểm tra thêm các dấu hiệu bất thường, đặc biệt là tài khoản quản trị mới được tạo ngoài ý muốn.

cd /path/to/wordpress

# Liệt kê administrator
wp user list --role=administrator --fields=ID,user_login,user_email,user_registered --allow-root

# Kiểm tra application password của admin
wp user application-password list <USER_ID> --allow-root

# Tìm log REST API tạo user nếu có access log
zgrep -h "wp-json/wp/v2/users" /var/log/*/*access* 2>/dev/null | tail -100

• Nếu thấy administrator lạ, không xóa ngay khi chưa backup và chưa xác minh vì có thể cần giữ evidence.
• Đổi mật khẩu toàn bộ tài khoản admin sau khi xử lý.
• Thu hồi application password không rõ nguồn gốc.
• Kiểm tra plugin/theme lạ, file PHP mới trong uploads và thay đổi bất thường trong database.
• Xóa cache/CDN và chạy scan bảo mật sau khi cập nhật.

Khuyến nghị vận hành để giảm rủi ro CSRF

• Không mở link lạ trong email/chat/comment khi đang đăng nhập WordPress admin.
• Dùng trình duyệt/profile riêng cho tài khoản quản trị website.
• Bật 2FA cho administrator.
• Giảm số lượng tài khoản administrator, dùng role thấp hơn cho công việc nội dung.
• Theo dõi tài khoản admin mới, application password mới và hoạt động REST API nhạy cảm.
• Bật auto-update có kiểm soát cho plugin phổ biến hoặc dùng quy trình cập nhật định kỳ có backup.

FAQ

Kết luận

Lỗ hổng CVE-2026-62062 trong Elementor 4.3.0–4.3.1 là ví dụ điển hình cho việc một lỗi CSRF có thể trở thành rủi ro chiếm quyền website khi đi qua REST API. Nếu website đang dùng Elementor, hãy kiểm tra phiên bản và cập nhật lên 4.3.2 hoặc mới hơn càng sớm càng tốt. Sau cập nhật, nên rà soát tài khoản administrator, application password và log REST API để loại trừ khả năng đã bị lợi dụng trước đó.

Nguồn tham khảo

• The Hacker News – Elementor CSRF Flaw Lets Attackers Take Over Sites
• Patchstack – Cross-Site Request Forgery in Elementor Plugin Affecting 2 Million+ Sites
• Patchstack Vulnerability Database – Elementor CSRF
• CVE Record – CVE-2026-62062

Đỗ Trung Quân

CÔNG TÁC TẠI AZDIGI

Với kinh nghiệm thực chiến từ việc tiếp xúc hàng ngày với vô vàn vấn đề về Website, Hosting, VPS, Server tại Phòng Kỹ thuật AZDIGI, mình luôn ấp ủ niềm đam mê chia sẻ kiến thức.

Mình xây dựng các blog không chỉ để tự trau dồi kỹ năng mà còn để cung cấp những tài liệu, hướng dẫn hữu ích nhất đến cộng đồng. Rất mong nhận được sự quan tâm của các bạn!

Hỗ Trợ Hosting / VPS / WordPress Hỗ Trợ Xử Lý Mã Độc

Đăng ký tư vấn miễn phí

Để lại thông tin, mình sẽ phản hồi ngay.

Họ và tên

Số điện thoại

TƯ VẤN MIỄN PHÍ Chọn dịch vụ Xử lý mã độc WordPress Thiết kế website Quản trị VPS/Server Dịch vụ WordPress (Quản trị/Fix lỗi/Nâng cấp) Tư vấn & Triển khain (Server - Hosting - Email)

GỬI YÊU CẦU TƯ VẤN