| Nom du plugin | Royal Elementor Addons |
|---|---|
| Type de vulnérabilité | Script intersite (XSS) |
| Numéro CVE | CVE-2026-0664 |
| Urgence | Faible |
| Date de publication CVE | 2026-04-03 |
| URL source | CVE-2026-0664 |
Royal Elementor Addons <= 1.7.1049 — XSS stocké d'authentifié via contournement de méta API REST (CVE-2026-0664)
En tant que spécialiste de la sécurité à Hong Kong avec de l'expérience dans l'évaluation des risques des plugins WordPress et la réponse aux incidents, cet avis explique le CVE-2026-0664, l'impact pratique pour les propriétaires de sites et les administrateurs, les techniques de détection, les atténuations immédiates et les mesures défensives à long terme. La vulnérabilité permet à un contributeur authentifié de persister JavaScript via la gestion des métadonnées de l'API REST en raison d'une désinfection insuffisante. L'exploitation nécessite généralement qu'un utilisateur privilégié rende ensuite le contenu stocké, donc le contexte est important — mais le XSS stocké reste une technique à haut risque pour le compromis de compte et la persistance.
Résumé exécutif
- Que s'est-il passé : Un défaut de gestion des métadonnées de l'API REST dans Royal Elementor Addons a permis aux contributeurs de stocker du HTML/JS arbitraire dans les champs postmeta ou plugin meta sans désinfection appropriée.
- Qui peut l'initier : Tout utilisateur authentifié avec des privilèges de contributeur sur le site affecté.
- Impact probable : XSS stocké — le script malveillant persiste et s'exécute lorsqu'un autre utilisateur (souvent un éditeur ou un administrateur) consulte ou interagit avec le contenu affecté. Les résultats possibles incluent le vol de session, le compromis de compte, des actions administratives non autorisées, la défiguration du site et l'installation de portes dérobées.
- Remédiation immédiate : Mettez à jour Royal Elementor Addons vers la version 1.7.1050 ou ultérieure. Si une mise à jour immédiate n'est pas possible, appliquez les atténuations ci-dessous (restreindre l'activité des contributeurs, patch virtuel via WAF ou règles serveur, désinfecter les métadonnées suspectes, auditer les utilisateurs).
- À long terme : Appliquez le principe du moindre privilège, désinfectez les entrées, renforcez l'accès à l'API REST, surveillez les requêtes suspectes et les scripts stockés, et adoptez des protections et une surveillance en couches.
Comment la vulnérabilité fonctionne (aperçu technique de haut niveau)
Le plugin expose des points de terminaison REST qui acceptent des métadonnées. Un défaut dans la gestion des métadonnées a permis aux valeurs fournies par le contributeur contenant du HTML et
