Royal Addons for Elementor : faille d'autorisation Mailchimp corrigée en 1.7.1070

En bref

• Produit : Royal Addons for Elementor, extension WordPress (à ne pas confondre avec le constructeur de pages Elementor lui-même).
• Versions affectées : toutes les versions antérieures à 1.7.1070.
• Version corrigée : 1.7.1070.
• Sévérité : moyenne, score CVSS 5.3.
• CVE : CVE-2026-107097.
• Exploitation active : inconnu (la vulnérabilité ne figure pas au catalogue des failles exploitées de la CISA).
• Date de l'avis : 28 octobre 2026.

Une vulnérabilité de contrôle d'accès a été publiée dans la base NVD pour l'extension Royal Addons for Elementor. Elle ne permet pas de prendre le contrôle du site, mais elle expose le compte Mailchimp que le propriétaire a connecté à l'extension.

De quoi s'agit-il ?

Royal Addons for Elementor ajoute à Elementor des widgets supplémentaires, dont des formulaires d'inscription reliés à Mailchimp. Pour cela, le propriétaire du site enregistre dans l'extension un identifiant d'accès à son compte Mailchimp.

D'après l'avis publié, les versions antérieures à 1.7.1070 utilisent cet identifiant sans vérifier au préalable que la demande est autorisée. Un attaquant non authentifié peut donc faire ajouter des adresses e-mail et des coordonnées de son choix dans une audience du compte Mailchimp, et ces contacts sont enregistrés comme abonnés confirmés.

Les conséquences sont surtout opérationnelles et commerciales :

• pollution des listes de diffusion avec des contacts fictifs ou de tiers qui n'ont rien demandé ;
• hausse du nombre de contacts facturés selon la formule Mailchimp souscrite ;
• envois vers des adresses non consenties, avec un risque de plaintes pour spam et de dégradation de la réputation d'expédition ;
• question de conformité au RGPD, puisque des personnes se retrouvent inscrites sans leur consentement.

Le score CVSS de 5.3 reflète cet impact limité à l'intégrité des données Mailchimp : l'avis ne mentionne ni exécution de code ni accès aux données du site WordPress.

Qui est concerné ?

Sont concernés les sites WordPress qui utilisent Royal Addons for Elementor dans une version antérieure à 1.7.1070, en particulier ceux qui ont connecté un compte Mailchimp à l'extension. Les sites qui utilisent uniquement Elementor, sans cette extension tierce, ne sont pas visés par cet avis. Le nombre de sites exposés n'est pas précisé par l'éditeur.

Que faire ?

• Mettre à jour Royal Addons for Elementor vers la version 1.7.1070 ou une version ultérieure, depuis le tableau de bord WordPress ou votre outil de maintenance.
• Si la mise à jour ne peut pas être appliquée tout de suite, retirer temporairement la connexion Mailchimp de l'extension ou désactiver les formulaires concernés.
• Vérifier dans Mailchimp les audiences reliées au site : repérer les vagues d'inscriptions inhabituelles, les adresses incohérentes ou les doublons, puis les archiver avant le prochain envoi.
• Consulter les journaux du serveur web pour identifier des pics de requêtes anonymes vers le site au moment de ces inscriptions.
• Par précaution, régénérer l'identifiant d'accès Mailchimp utilisé par l'extension.
• En cas de signe de compromission plus large du site, restaurer une sauvegarde saine antérieure à l'incident, puis appliquer la mise à jour.

Sources

• NVD : fiche CVE-2026-107097 (avis de référence, score et versions).
• WPScan : fiche de la vulnérabilité (recoupement).