CVE-2026-107097

Wtyczka WordPress Royal Addons for Elementor przed wersją 1.7.1070 nie weryfikuje, czy żądany post jest publicznie widoczny, przed zwróceniem jego treści przez nieuwierzytelnioną akcję AJAX. Opiera się tylko na statusie publikacji, a nie na widoczności typu posta, co pozwala nieuwierzytelnionym użytkownikom ujawnić treść postów w niepublicznych typach postów, np. przechwyconych zgłoszeń formularzy kontaktowych.

Wtyczka WordPress Royal Addons for Elementor przed wersją 1.7.1070 nie sanityzuje ani nie escapuje jednego z ustawień rozmiaru widżetu mapy przed wstawieniem go do atrybutu HTML. Użytkownicy z rolą Contributor i wyższą mogą wstrzyknąć JavaScript, który wykona się w przeglądarce każdego użytkownika przeglądającego stronę, w tym administratora przeglądającego oczekujące zgłoszenie.

Wtyczka WordPress Royal Addons for Elementor przed wersją 1.7.1070 nie ogranicza konfiguracji dostarczania e-maili formularza kontaktowego do dokumentu lub właściciela formularza, lecz przechowuje ją w globalnej przestrzeni nazw witryny opartej tylko na niejawnym, wybranym przez autora identyfikatorze ujawnionym w publicznym źródle strony. Użytkownicy z rolą Author i wyższą mogą nadpisać konfigurację formularza innego użytkownika i spowodować dostarczanie zgłoszeń do adresu kontrolowanego przez atakującego.

Wtyczka Royal Addons for Elementor – Addons and Templates Kit for Elementor dla WordPressa jest podatna na ujawnienie poufnych informacji we wszystkich wersjach do 1.7.1066 włącznie poprzez parametr 'wpr_keyword'. Nieuwierzytelniony atakujący może wyciągać dowolne wartości postmeta ze wszystkich opublikowanych wpisów, dopasowując znak po znaku w całej tabeli wp_postmeta. Wymagany nonce jest publicznie emitowany przez wp_localize_script na każdej stronie frontendu ładującej widget Royal Elementor, więc nie jest potrzebna sesja ani wcześniejsze działanie.

Wtyczka Royal Addons for Elementor dla WordPressa przed wersją 1.7.1066 nie waliduje niektórych ustawień widżetów przed wypisaniem ich wewnątrz atrybutu HTML, co może pozwolić użytkownikom z rolą Współautor (Contributor) i wyżej na przeprowadzanie ataków Stored Cross-Site Scripting.

Wtyczka Royal Addons for Elementor przed wersją 1.7.1066 nie sprawdza uprawnień ani nonce przed zwróceniem danych taksonomii dla dowolnej taksonomii podanej przez użytkownika. Pozwala to nieuwierzytelnionym użytkownikom na ujawnienie nazw i identyfikatorów terminów należących do niepublicznych taksonomii.

Wtyczka Royal Addons for Elementor przed wersją 1.7.1066 nie sprawdza uprawnień ani własności (polegając tylko na publicznie dostępnym nonce) przed zapisem danych meta posta dotyczących polubień i śledzenia odwiedzin dla dowolnego ID posta. Pozwala to nieuwierzytelnionym użytkownikom na modyfikację tych metadanych na dowolnym poście, w tym prywatnym i szkicu.

Wtyczka Royal Addons for Elementor WordPress przed wersją 1.7.1066 nieprawidłowo sanityzuje znaczniki niestandardowych widżetów przed zapisaniem ich do pliku, który jest później wykonywany, co pozwala użytkownikom z uprawnieniem manage_options (oraz w WordPress Multisite administratorom podstron niebędącym superadminami, którzy nie mają innych uprawnień do wykonywania kodu) na wykonanie dowolnego kodu PHP.

Wtyczka Royal Addons for Elementor dla WordPressa przed wersją 1.7.1065 nie waliduje ustawienia widgetu używanego do budowy tagu HTML przed jego wypisaniem, co może pozwolić użytkownikom z rolą Contributor i wyżej na przeprowadzenie ataków Stored Cross-Site Scripting.

Wtyczka Royal Addons dla Elementor do WordPressa przed wersją 1.7.1063 nie sprawdza statusu wpisów elementów menu ani szablonów, do których się odnoszą w jednym z punktów końcowych REST. Umożliwia to nieuwierzytelnionym użytkownikom pobranie wyrenderowanej treści HTML prywatnych lub szkicowych szablonów Elementor, powiązanych z niepublicznymi elementami menu nawigacyjnego.