WordPress vietņu uzturētājiem, kuri izmanto Elementor 4.3.0 vai 4.3.1, jāpārbauda instalētā versija un iespējami drīz jāuzstāda aktuālais labojums. Raksta sagatavošanai iesniegtajā drošības paziņojumā norādīts, ka šīs divas versijas skar starpvietņu pieprasījumu viltošanas jeb CSRF ievainojamība, kas varēja ļaut vietnē veikt neatļautas darbības, savukārt problēma novērsta Elementor 4.3.2. Oficiālajā izmaiņu žurnālā šai versijai tiešām minēts datu apstrādes drošības uzlabojums. Tomēr jāpievērš uzmanība datumam: Elementor vietnē 4.3.2 izlaide datēta ar 2026. gada 24. septembri, nevis iesniegtajā tekstā minēto 25. septembri. Arī projekta oficiālais GitHub laidiena ieraksts rāda 24. septembri.
Oficiālais izmaiņu žurnāls palīdz precizēt notikumu secību: Elementor 4.3.0 publicēta 22. septembrī, 4.3.1 — 23. septembrī, bet 4.3.2 — nākamajā dienā. Jaunākajā labojumā līdztekus drošības pastiprināšanai datu apstrādē uzlabota saderība ar HTTP Basic Authentication aizsargātām vietnēm, novērstas atsevišķas lapu stilu ielādes problēmas un uzlabota atjaunināšanas stabilitāte starp Elementor Core un Pro. Šie ir oficiāli uzskaitīti uzlabojumi, taču pats izmaiņu žurnāls neizskaidro konkrēto CSRF mehānismu un nenosauc skarto versiju diapazonu. Tādēļ informācija par CSRF un tieši divām skartajām versijām šeit attiecināta uz iesniegto paziņojumu, nevis pasniegta kā atsevišķi apstiprināta publiskajā izmaiņu žurnālā.
Vispārīgā nozīmē CSRF uzbrukumā ļaunprātīga vietne vai saite var mēģināt panākt, lai jau autentificēta lietotāja pārlūkprogramma nosūtītu nevēlamu pieprasījumu citai vietnei. Ja vietne pietiekami nepārbauda pieprasījuma izcelsmi un lietotāja nodomu, iespējamas darbības ar šīs sesijas tiesībām. Tas ir uzbrukuma veida skaidrojums, nevis šīs Elementor kļūdas tehniska analīze. Pārbaudītajos oficiālajos avotos nav pietiekamas informācijas, lai šajā rakstā norādītu CVE identifikatoru, smaguma vērtējumu, pierādītu reālu izmantošanu uzbrukumos vai apgalvotu, ka atsevišķi ievainojams arī Elementor Pro. Arī paziņojumā minētās vecāku versiju neskartības interpretācija nedrīkst radīt maldīgu iespaidu, ka novecojusi programmatūra kopumā ir droša.
Praktiski sāciet ar WordPress administrācijas sadaļu “Spraudņi”, kur redzams Elementor versijas numurs. Ja instalēta 4.3.0 vai 4.3.1, sagatavojiet rezerves kopiju un veiciet atjaunināšanu uz 4.3.2 vai jaunāku stabilu versiju. Elementor oficiālā dokumentācija iesaka pirms izmaiņām izlasīt laidiena piezīmes, pārbaudīt trešo pušu papildinājumu saderību un, ja iespējams, izmēģināt atjauninājumu testa vidē. Pašu atjaunināšanu var veikt instalēto spraudņu sarakstā vai WordPress atjauninājumu sadaļā. Ja izmantojat arī Pro, uzturiet abu spraudņu saderīgas, aktuālas versijas; ražotājs iesaka, atjauninot abus, vispirms atjaunināt Pro. Tas ir saderības ieteikums, nevis apstiprinājums Pro skartībai ar šo ievainojamību.
Pēc atjaunināšanas vēlreiz pārbaudiet versijas numuru, atveriet svarīgākās lapas un pārliecinieties, ka darbojas redaktors, formas un citas vietnei būtiskas funkcijas. Ja uzturat vairākas klientu vietnes, pārbaudi atkārtojiet katrai instalācijai, nepaļaujoties tikai uz automātisko atjauninājumu iestatījumu. Iesniegtajā paziņojumā izstrādātājs uzsver lietotāju drošības nozīmi, norāda uz nekavējoties veiktu problēmas novēršanu un atvainojas par sagādātajām neērtībām. Publisku šī paziņojuma oriģinālu pārbaudītajās Elementor lapās neizdevās atrast, tāpēc tā detalizētie apgalvojumi jāvērtē ar šo atrunu. Galvenais praktiskais secinājums nemainās: neatlieciet drošības atjauninājumu un dokumentējiet pārbaudes rezultātu.
Avots: Elementor oficiālais izmaiņu žurnāls
