CVE-2026-17123 in Royal Addons Plugin
요약
\~에 의해 VulDB • 2026. 08. 16.
WordPress용 Royal Elementor Addons 플러그인은 1.7.1064 버전(포함) 이하에서 Form Builder 위젯의 'webhook_url' 설정을 통해 Server-Side Request Forgery(SSRF) 취약점이 존재합니다. 위젯의 render() 메서드는 매번 렌더링될 때마다 공격자가 제어한 URL을 wpr_webhook_url_{widget_id} 옵션에 영구 저장하며(기여자 사용자가 자신의 초안을 미리 보는 경우 포함), 인증된 사용자와 비인증 사용자 모두에게 등록되어 있는 wpr_form_builder_webhook AJAX 핸들러는 해당 옵션을 읽어서 wp_remote_post()를 통해 외부 요청을 전송합니다. 이때 호스트 허용 목록, 프로토콜 제한, 사설/루프백 IP 필터링이 적용되지 않으며(플러그인의 기존 wpr_is_blocked_remote_host / wpr_is_private_or_local_ip 헬퍼 함수가 이 경로에서는 호출되지 않음), 이로 인해 Contributor 권한 이상의 접근 권한을 가진 인증된 공격자가 웹 애플리케이션에서 임의 위치로 웹 요청을 수행할 수 있으며, 이를 통해 내부 서비스의 정보를 조회하고 수정하는 데 악용될 수 있습니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.