CVE-2026-17585

Nome do Software Vulnerável e Versões Afetadas Royal Addons for Elementor – Addons and Templates Kit for Elementor versões anteriores a 1.7.107

Descrição O plugin Royal Addons for Elementor – Addons and Templates Kit for Elementor para WordPress permite que atacantes não autenticados extraiam valores arbitrários de postmeta de todas as publicações publicadas. Isso é realizado por meio de correspondência de substring caractere por caractere em toda a tabela wp postmeta usando o parâmetro wpr keyword. O nonce necessário é disponibilizado publicamente via wp localize script em qualquer página de frontend que carregue um widget do Royal Elementor, eliminando a necessidade de uma sessão autenticada.

Recomendações Atualize o plugin para uma versão posterior à 1.7.1066. Como medida de mitigação temporária, restrinja o acesso ou evite o uso do parâmetro wpr keyword.