CVE-2026-17123 in Royal Addons Plugin
الملخص
بحسب VulDB • 17/08/2026
يحتوي إضافة Royal Elementor Addons لـ WordPress على ثغرة Server-Side Request Forgery (SSRF) في الإصدارات حتى 1.7.1064، بما فيها هذه النسخة، عبر إعداد 'webhook_url' الخاص بویجت Form Builder. تقوم طريقة render() الخاصة بالویجت بحفظ عنوان URL الذي يتحكم فيه المهاجم ضمن الخيار wpr_webhook_url_{widget_id} عند كل عملية عرض (بما في ذلك عندما يستعرض المساهم مسودته الخاصة)، ويقوم معالج AJAX المسمى wpr_form_builder_webhook — المسجل لكل من المتصلين المصرح لهم وغير المصرح لهم — بقراءة هذا الخيار وإرسال الطلب الخارجي عبر wp_remote_post() غير الآمن، دون وجود قائمة بيضاء للمضيف (host allowlist)، أو تقييد للبروتوكول (scheme restriction)، أو فلتر لعناوين IP الخاصة/الحلقية (private/loopback IP filter)؛ حيث لا يتم استدعاء الدوال المساعدة الموجودة في الإضافة wpr_is_blocked_remote_host وwpr_is_private_or_local_ip على هذا المسار. وهذا يمكّن المهاجمين المصرح لهم، ذوي الصلاحيات بمستوى Contributor وما فوق، من إجراء طلبات ويب إلى مواقع عشوائية تنبعث من تطبيق الويب، ويمكن استخدامها لاستعلام وتعديل المعلومات الواردة من الخدمات الداخلية.
VulDB is the best source for vulnerability data and more expert information about this specific topic.