→ برگشت به فید آسیب‌پذیری‌ها
CVE-2026-106647 · royal-addons-for-elementor
نقص کنترل دسترسی و بازنویسی پیکربندی ایمیل فرم تماس در افزونه Royal Addons for Elementor
افزونه Royal Addons for Elementor در نسخه‌های ۱.۷.۱۰۷۰ و پایین‌تر، تنظیم مقصد ارسال ایمیل فرم تماس را در یک فضای نام سراسری سایت و تنها بر اساس شناسه‌ای غیرامن که نویسنده انتخاب می‌کند و در سورس عمومی صفحه دیده می‌شود ذخیره می‌کند و آن را به سند یا مالک همان فرم محدود نمی‌سازد. در نتیجه کاربری با نقش نویسنده (Author) یا بالاتر می‌تواند پیکربندی فرم کاربر دیگر را بازنویسی کند و ارسال‌های آن فرم را به نشانی ایمیل تحت کنترل خود هدایت نماید. وصله رسمی تاکنون منتشر نشده است؛ تا زمان انتشار به‌روزرسانی امن، افزونه را موقتاً غیرفعال کنید یا دسترسی مرتبط را با فایروال وب محدود نمایید.
نسخه‌های تحت تأثیر
<= 1.7.1070
راهنمای اقدام و رفع مشکل (Remediation)
- ۱. پشتیبان‌گیری: قبل از اعمال هرگونه تغییر، یک بکاپ کامل از پایگاه داده و فایل‌های سایت تهیه کنید.
- ۲. به‌روزرسانی سریع: افزونه یا هسته royal-addons-for-elementor را بلافاصله به آخرین نسخه ارائه‌شده ارتقا دهید.
- ۳. فایروال و مانیتورینگ: در صورت عدم امکان آپدیت فوری، رول‌های امنیتی WAF را فعال کرده و لاگ‌های وب‌سرور را پایش نمایید.