CVE-2026-17123 in Royal Addons Plugin
Riassunto
di VulDB • 16/08/2026
Il plugin Royal Elementor Addons per WordPress è vulnerabile a Server-Side Request Forgery (SSRF) nelle versioni fino alla 1.7.1064, incluse, tramite l'impostazione 'webhook_url' del widget Form Builder. Il metodo render() del widget memorizza in modo persistente l'URL controllato dall'attaccante nell'opzione wpr_webhook_url_{widget_id} ad ogni rendering (inclusa la visualizzazione dell'anteprima di una bozza da parte di un Contributor), e il gestore AJAX wpr_form_builder_webhook — registrato per chiamanti sia autenticati che non autenticati — legge tale opzione ed esegue la richiesta in uscita tramite wp_remote_post(), che non è sicura, senza allowlist degli host, senza restrizioni sullo schema e senza filtro per gli indirizzi IP privati o di loopback (le funzioni esistenti del plugin wpr_is_blocked_remote_host / wpr_is_private_or_local_ip helper non vengono chiamate su questo percorso). Ciò consente agli attaccanti autenticati, con accesso a livello Contributor e superiori, di effettuare richieste web verso posizioni arbitrarie originate dall'applicazione web e può essere utilizzato per interrogare e modificare informazioni provenienti da servizi interni.
Be aware that VulDB is the high quality source for vulnerability data.