Royal Addons for Elementor : faille XSS corrigée en 1.7.1070

En bref

• Produit : Royal Addons for Elementor, extension WordPress (à ne pas confondre avec le constructeur de pages Elementor lui-même).
• Versions affectées : toutes les versions antérieures à la 1.7.1070.
• Version corrigée : 1.7.1070.
• Sévérité : moyenne, score CVSS 6,8.
• CVE : CVE-2026-107098.
• Exploitation active : inconnu.
• Date de l'avis : 28 octobre 2026.

Une faille de type cross-site scripting (XSS) stockée a été publiée le 28 octobre 2026 dans la base NVD pour l'extension Royal Addons for Elementor. Elle est corrigée dans la version 1.7.1070. Selon l'avis, l'extension ne nettoie pas et n'échappe pas correctement l'un des réglages de son widget de carte avant de l'insérer dans la page. Un utilisateur disposant au moins du rôle Contributeur peut ainsi enregistrer du JavaScript qui s'exécutera dans le navigateur de toute personne consultant la page concernée.

Le point sensible est le circuit de relecture : un administrateur qui ouvre un contenu en attente de validation, soumis par un contributeur, peut déclencher le script. Dans ce scénario, le code injecté s'exécute avec la session de l'administrateur, ce qui peut permettre des actions sur le site à son insu. C'est ce qui explique un score de 6,8 malgré la nécessité d'un compte authentifié.

Qui est concerné ?

Sont concernés les sites WordPress sur lesquels l'extension Royal Addons for Elementor est installée dans une version antérieure à la 1.7.1070. Le risque est le plus élevé sur les sites qui ouvrent des comptes à des tiers : rédacteurs externes, contributeurs invités, sites multi-auteurs, ou plateformes où l'inscription attribue un rôle Contributeur ou supérieur.

Un site sans aucun compte de ce type reste exposé si un compte existant venait à être compromis, par exemple à la suite d'une fuite de mot de passe. La mise à jour reste donc recommandée dans tous les cas.

Le constructeur de pages Elementor en tant que tel n'est pas visé par cet avis : seule l'extension complémentaire Royal Addons for Elementor l'est. Aucune mesure de contournement autre que la mise à jour n'est précisée par l'éditeur.

Que faire ?

• Mettre à jour Royal Addons for Elementor vers la version 1.7.1070, depuis le tableau de bord WordPress ou votre outil de déploiement habituel.
• Passer en revue la liste des utilisateurs disposant du rôle Contributeur ou supérieur, et supprimer les comptes inutiles ou inconnus.
• Vérifier les contenus récemment créés ou modifiés qui utilisent le widget de carte, en particulier ceux soumis par des contributeurs.
• Consulter les journaux d'activité et d'accès à la recherche de connexions ou de modifications inhabituelles, notamment la création de comptes administrateurs.
• En cas de compromission avérée, restaurer une sauvegarde saine antérieure à l'incident, puis appliquer la mise à jour et renouveler les mots de passe des comptes à privilèges.

Si vous gérez plusieurs sites, recensez ceux qui utilisent cette extension avant de planifier les mises à jour, en commençant par les sites multi-auteurs.

Sources

• NVD : fiche CVE-2026-107098 (publiée le 28 octobre 2026).
• WPScan : avis sur Royal Addons for Elementor (recoupement).