CVE-2026-19217

Wtyczka Royal Addons for Elementor – Addons and Templates Kit for Elementor dla WordPressa jest podatna na ujawnienie poufnych informacji we wszystkich wersjach do 1.7.1066 włącznie poprzez parametr 'wpr_keyword'. Nieuwierzytelniony atakujący może wyciągać dowolne wartości postmeta ze wszystkich opublikowanych wpisów, dopasowując znak po znaku w całej tabeli wp_postmeta. Wymagany nonce jest publicznie emitowany przez wp_localize_script na każdej stronie frontendu ładującej widget Royal Elementor, więc nie jest potrzebna sesja ani wcześniejsze działanie.

Wtyczka Royal Addons for Elementor dla WordPressa przed wersją 1.7.1066 nie waliduje niektórych ustawień widżetów przed wypisaniem ich wewnątrz atrybutu HTML, co może pozwolić użytkownikom z rolą Współautor (Contributor) i wyżej na przeprowadzanie ataków Stored Cross-Site Scripting.

Wtyczka Royal Addons for Elementor przed wersją 1.7.1066 nie sprawdza uprawnień ani nonce przed zwróceniem danych taksonomii dla dowolnej taksonomii podanej przez użytkownika. Pozwala to nieuwierzytelnionym użytkownikom na ujawnienie nazw i identyfikatorów terminów należących do niepublicznych taksonomii.

Wtyczka Royal Addons for Elementor przed wersją 1.7.1066 nie sprawdza uprawnień ani własności (polegając tylko na publicznie dostępnym nonce) przed zapisem danych meta posta dotyczących polubień i śledzenia odwiedzin dla dowolnego ID posta. Pozwala to nieuwierzytelnionym użytkownikom na modyfikację tych metadanych na dowolnym poście, w tym prywatnym i szkicu.

Wtyczka Royal Addons for Elementor WordPress przed wersją 1.7.1066 nieprawidłowo sanityzuje znaczniki niestandardowych widżetów przed zapisaniem ich do pliku, który jest później wykonywany, co pozwala użytkownikom z uprawnieniem manage_options (oraz w WordPress Multisite administratorom podstron niebędącym superadminami, którzy nie mają innych uprawnień do wykonywania kodu) na wykonanie dowolnego kodu PHP.

Wtyczka Royal Addons dla Elementor do WordPressa przed wersją 1.7.1063 nie sprawdza statusu wpisów elementów menu ani szablonów, do których się odnoszą w jednym z punktów końcowych REST. Umożliwia to nieuwierzytelnionym użytkownikom pobranie wyrenderowanej treści HTML prywatnych lub szkicowych szablonów Elementor, powiązanych z niepublicznymi elementami menu nawigacyjnego.

Wtyczka Royal Addons for Elementor dla WordPress do wersji 1.7.1049 ma podatność na trwałe XSS przez parametr 'button_text'. Atak wymaga uwierzytelnienia na poziomie contributor lub wyższym.

Wtyczka Royal Addons for Elementor dla WordPressa w wersjach przed 1.7.1037 nie ma odpowiedniej autoryzacji, co pozwala nieuwierzytelnionym użytkownikom na przesyłanie plików multimedialnych poprzez akcję wpr_addons_upload_file. Może to prowadzić do nieautoryzowanego przesyłania plików na serwer.