CVE-2026-17123

Nome do Software Vulnerável e Versões Afetadas Royal Elementor Addons versões anteriores a 1.7.1065

Descrição Existe um problema na configuração webhook url do widget Form Builder que permite Server-Side Request Forgery (SSRF), uma falha na qual um invasor força um servidor a fazer requisições para um local não pretendido. O método render() salva uma URL controlada pelo usuário na opção wpr webhook url {widget id}. Posteriormente, o manipulador AJAX wpr form builder webhook lê essa opção e executa uma requisição externa usando a função wp remote post(). Como o processo carece de uma lista de permissões de host, restrições de esquema e filtros para endereços IP privados ou de loopback, invasores autenticados com nível de acesso de Colaborador (Contributor) ou superior podem disparar requisições web para locais arbitrários a partir do servidor para consultar ou modificar serviços internos.

Recomendações Atualize o Royal Elementor Addons para uma versão posterior à 1.7.1064. Como mitigação temporária, restrinja o acesso à configuração webhook url do widget Form Builder para usuários com permissões de Colaborador.