CVE-2026-17123
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 29 - wyżej niż 29% wszystkich znanych CVE
Streszczenie
Wtyczka Royal Elementor Addons dla WordPressa do wersji 1.7.1064 włącznie zawiera podatność na Server-Side Request Forgery (SSRF) w widżecie Form Builder. Atakujący z uprawnieniami Contributor może wysyłać żądania do dowolnych lokalizacji, w tym do usług wewnętrznych.
Ocena ryzyka
Atakujący może wykorzystać SSRF do skanowania wewnętrznej sieci, odczytywania danych z usług wewnętrznych lub modyfikowania ich, co może prowadzić do naruszenia bezpieczeństwa infrastruktury.
Rekomendacja
Zaktualizuj wtyczkę do najnowszej wersji. Dodatkowo ogranicz uprawnienia Contributor i wdróż reguły WAF blokujące żądania do prywatnych adresów IP.
Inne podatności w Royal Elementor Addons
Zobacz wszystkie- CVE-2026-97255Średnie
Wtyczka Royal Elementor Addons do WordPressa zawiera podatność obejścia autoryzacji poprzez klucz kontrolowany przez użytkownika. Problem dotyczy wersji do 1.7.1069 włącznie.
- CVE-2026-97254Średnie
Wtyczka Royal Elementor Addons do WordPressa zawiera podatność Stored Cross-Site Scripting (XSS) wynikającą z niewłaściwej neutralizacji danych wejściowych podczas generowania stron. Problem dotyczy wersji do 1.7.1069 włącznie.
- CVE-2026-112865Średnie
Wtyczka Royal Elementor Addons (do wersji 1.7.1069) zawiera podatność DOM-Based XSS wynikającą z niewłaściwej neutralizacji danych wejściowych podczas generowania stron. Atakujący może wykorzystać manipulację DOM po stronie klienta do wykonania złośliwego skryptu.
- CVE-2026-111851Wysokie
Wtyczka Royal Elementor Addons do WordPressa (do wersji 1.7.1068) zawiera podatność typu unsafe reflection, polegającą na użyciu danych kontrolowanych z zewnątrz do wyboru klas lub kodu. Może to prowadzić do wstrzyknięcia kodu.
- CVE-2026-13407Średnie
Wtyczka Royal Elementor Addons dla WordPressa przed wersją 1.7.1067 nieprawidłowo sanityzuje i nie escapuje wartości przesłanych przez widget formularza przed umieszczeniem ich w treści wiadomości e-mail z powiadomieniem dla administratora. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnego HTML do wiadomości e-mail wysyłanych do administratora witryny po przesłaniu formularza.
- CVE-2026-5428Średnie
Wtyczka Royal Elementor Addons dla WordPressa jest podatna na przechowywany Cross-Site Scripting (XSS) przez podpisy obrazów w widżecie Image Grid/Slider/Carousel w wersjach do 1.7.1056 włącznie. Wynika to z niewystarczającego escapowania wyjścia w funkcji render_post_thumbnail(), gdzie użyto wp_kses_post() zamiast esc_attr() dla atrybutu alt. Umożliwia to uwierzytelnionym atakującym z dostępem co najmniej na poziomie autora wstrzyknięcie dowolnych skryptów na strony, które wykonają się, gdy użytkownik odwiedzi stronę z złośliwym obrazem.
- CVE-2026-40763Średnie
Wtyczka Royal Elementor Addons firmy WP Royal w wersjach do 1.7.1056 zawiera podatność braku autoryzacji, umożliwiającą wykorzystanie błędnie skonfigurowanych poziomów kontroli dostępu.
Oryginalny opis (angielski, źródło NVD)
The Royal Elementor Addons plugin for WordPress is vulnerable to Server-Side Request Forgery in versions up to, and including, 1.7.1064 via the Form Builder widget's 'webhook_url' setting. The widget's render() method persists the attacker-controlled URL into the wpr_webhook_url_{widget_id} option on every render (including a Contributor previewing their own draft), and the wpr_form_builder_webhook AJAX handler — registered for both authenticated and unauthenticated callers — reads that option and dispatches the outbound request via the non-safe wp_remote_post(), with no host allowlist, no scheme restriction, and no private/loopback IP filter (the plugin's existing wpr_is_blocked_remote_host / wpr_is_private_or_local_ip helpers are not called on this path). This makes it possible for authenticated attackers, with Contributor-level access and above, to make web requests to arbitrary locations originating from the web application and can be used to query and modify information from internal services.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS