→ برگشت به فید آسیب‌پذیری‌ها CVE-2026-107100 · royal-addons-for-elementor

افشای غیرمجاز محتوای پست‌های غیرعمومی در افزونه Royal Addons for Elementor

افزونه Royal Addons for Elementor در نسخه‌های ۱.۷.۱۰۷۰ و پایین‌تر، پیش از بازگرداندن محتوای یک پست از طریق یک اقدام AJAX بدون احراز هویت، بررسی نمی‌کند که آن پست برای عموم قابل مشاهده باشد و تنها به وضعیت «منتشرشده» تکیه می‌کند، نه به قابلیت مشاهده نوع پست. در نتیجه مهاجم بدون نیاز به ورود می‌تواند محتوای پست‌های ذخیره‌شده در انواع پست غیرعمومی، از جمله ارسال‌های فرم تماس شامل نام، نشانی ایمیل و پیام‌ها را افشا کند. وصله رسمی هنوز منتشر نشده است؛ تا زمان انتشار پچ، افزونه را موقتاً غیرفعال کنید یا دسترسی به این قابلیت را با فایروال وب (WAF) محدود نمایید.