Royal Addons for Elementor : faille de formulaire corrigée en 1.7.1070

En bref

• Produit : Royal Addons for Elementor, extension WordPress tierce qui ajoute des widgets au constructeur Elementor (il ne s'agit pas d'Elementor lui-même).
• Versions affectées : toutes les versions antérieures à 1.7.1070.
• Version corrigée : 1.7.1070.
• Sévérité : faible, score CVSS 3.8.
• CVE : CVE-2026-106647.
• Exploitation active : inconnu.
• Date de l'avis : 28 octobre 2026.

La vulnérabilité CVE-2026-106647 a été publiée dans la base NVD le 28 octobre 2026. Elle touche le module de formulaire de contact de l'extension Royal Addons for Elementor. Selon l'avis, la configuration d'envoi des e-mails d'un formulaire n'est rattachée ni au document ni à l'utilisateur qui l'a créé : elle est stockée dans un espace commun à tout le site, sous un identifiant choisi par l'auteur, qui n'a rien de secret et apparaît dans le code public de la page.

Conséquence : un utilisateur ayant au minimum le rôle « Auteur » peut écraser la configuration du formulaire d'un autre utilisateur. Les messages envoyés par les visiteurs depuis ce formulaire peuvent alors partir vers une adresse contrôlée par l'attaquant. Le risque est donc un détournement des données de contact (noms, adresses e-mail, contenu des messages), et non une prise de contrôle du site.

Qui est concerné ?

Sont concernés les sites WordPress qui utilisent Royal Addons for Elementor dans une version antérieure à 1.7.1070, en particulier ceux qui :

• affichent des formulaires de contact construits avec les widgets de cette extension ;
• donnent le rôle « Auteur » ou un rôle supérieur à plusieurs personnes : rédacteurs externes, prestataires, membres d'une équipe éditoriale.

L'attaquant doit disposer d'un compte authentifié avec ces droits, ce qui explique la sévérité faible. Un site où seul l'administrateur possède un compte est nettement moins exposé, sans être à l'abri si ce compte est compromis. Le nombre d'installations de l'extension est non précisé par l'éditeur dans les sources disponibles. Les sites qui utilisent seulement Elementor, sans cette extension, ne sont pas visés par cet avis.

Que faire ?

• Mettre à jour Royal Addons for Elementor vers la version 1.7.1070 ou une version ultérieure.
• Vérifier dans les réglages de chaque formulaire de contact que l'adresse de destination des e-mails est bien celle attendue.
• Passer en revue les comptes ayant le rôle « Auteur » ou un rôle supérieur, et supprimer ceux qui ne servent plus.
• Consulter les journaux d'activité du site pour repérer des modifications de formulaires inattendues.
• En cas de compromission avérée, restaurer une sauvegarde saine, changer les mots de passe des comptes concernés et prévenir les personnes dont les messages ont pu être détournés.

À ce jour, aucune exploitation active n'est signalée. La mise à jour reste recommandée dès que possible : elle se limite à une version corrective de l'extension.

Sources

• NVD : fiche CVE-2026-106647 (avis de référence, score et versions)
• WPScan : fiche de la vulnérabilité (recoupement)