Elementor插件中存在严重漏洞（CVE-2025-8489，CVSS 9.8），正被积极利用以获取未授权的网站管理员权限

该漏洞是典型的权限提升案例，根源在于用户注册过程中 缺乏输入验证。插件通过 handle_register_ajax()函数处理新账户注册。正常情况下，注册表单应强制新用户为低权限角色（如“订阅者”），但 King Addons 的代码盲目接受用户输入的角色定义。

报告解释：“此函数实现存在安全缺陷，未授权攻击者可无限制指定角色，意味着他们可直接赋予自己管理员权限。”攻击者只需修改注册请求，添加参数 user_role=administrator，即可绕过所有安全检查，瞬间成为网站管理员。漏洞披露与实际攻击几乎无缝衔接：

补丁发布：2025年9月25日

公开披露：2025年10月30日

攻击开始：2025年10月31日

由于漏洞允许直接获取管理员权限，潜在危害极其严重：“与所有权限提升漏洞一样，此漏洞可导致网站完全沦陷。”攻击者获得管理员权限后可：

上传恶意文件：包括插件和主题文件（恶意 zip 包可包含后门）；

劫持流量：修改文章和页面，将用户重定向至恶意网站或注入垃圾内容。

Wordfence 已识别多个集中攻击此漏洞的 IP 地址，管理员应检查访问日志，重点关注以下来源：

 45.61.157.120（超 28,900 次拦截请求）

 2602:fa59:3:424::1（超 16,900 次拦截请求）

 182.8.226.228

 138.199.21.230

 206.238.221.25

该漏洞影响插件 24.12.92 至 51.1.14 版本，已在 51.1.35 版本修复。