Elementor ha publicado Elementor Pro 4.2.2, una actualización que corrige una vulnerabilidad de seguridad localizada en el campo de subida de archivos del widget de formularios.
La actualización fue publicada el 19 de agosto de 2026 y desde Elementor recomiendan actualizar a esta versión, especialmente en aquellos sitios web que utilicen la configuración afectada.
Qué sitios web están afectados
La vulnerabilidad no afecta de forma general a todas las instalaciones de Elementor Pro. Para que un sitio pueda verse afectado deben cumplirse estas condiciones:
- Utilizar un formulario creado con el widget Form de Elementor Pro.
- Tener un campo que permita la subida de archivos.
- Tener habilitada la opción de subida de múltiples archivos.
Este último punto es importante, ya que la subida múltiple de archivos está desactivada de forma predeterminada. Por tanto, los sitios que no utilicen esta funcionalidad no están afectados por esta vulnerabilidad concreta.
Elementor Pro 4.2.2 soluciona el problema
Elementor indica que el problema ha sido solucionado en Elementor Pro 4.2.2, por lo que los sitios que utilicen formularios con subida múltiple de archivos deberían actualizar cuanto antes.
Aunque el resto de instalaciones no estén afectadas, Elementor recomienda igualmente mantener el plugin actualizado para disponer de las últimas correcciones de seguridad, compatibilidad y estabilidad.
Si utilizas Elementor Pro, puedes comprobar la versión instalada desde Plugins → Plugins instalados en el panel de administración de WordPress.
Recomendación
Si tienes Elementor Pro instalado, la recomendación es sencilla: actualiza como mínimo a Elementor Pro 4.2.2.
En aquellos sitios donde se utilicen formularios con campos para adjuntar varios archivos, la actualización debería considerarse prioritaria. También puede ser un buen momento para revisar formularios antiguos y comprobar si realmente necesitan permitir la subida de archivos y, especialmente, la selección de varios archivos simultáneamente.
Elementor ha comunicado que actuó inmediatamente tras detectar el problema y recuerda que mantiene un programa de recompensas, Bug Bounty Program, para incentivar la comunicación responsable de vulnerabilidades.
