Royal Addons for Elementor : fuite de données corrigée en 1.7.1070

En bref

• Produit : Royal Addons for Elementor, extension WordPress qui complète le constructeur Elementor (elle est distincte de l'extension Elementor elle-même).
• Versions affectées : toutes les versions antérieures à 1.7.1070.
• Version corrigée : 1.7.1070.
• Sévérité : moyenne, score CVSS 5.3.
• CVE : CVE-2026-107100.
• Exploitation active : inconnu.
• Date de l'avis : 28 octobre 2026.

De quoi s'agit-il ?

Une faille de divulgation d'informations a été publiée le 28 octobre 2026 dans la base NVD sous l'identifiant CVE-2026-107100. Elle touche l'extension Royal Addons for Elementor, qui ajoute des widgets et des fonctionnalités au constructeur de pages Elementor.

Selon l'avis, l'extension renvoie le contenu d'une publication demandée par un visiteur sans vérifier que cette publication est réellement destinée à être vue publiquement. Le contrôle se limite au statut « publié » et ne tient pas compte de la visibilité du type de contenu. Un visiteur non authentifié peut ainsi obtenir le contenu de publications rangées dans des types de contenu non publics.

L'avis cite un exemple concret : les soumissions de formulaires de contact enregistrées par le site, qui peuvent contenir des noms, des adresses e-mail et des messages. L'enjeu porte donc sur la confidentialité des données personnelles collectées par le site, avec des conséquences possibles au regard du RGPD.

L'avis décrit une fuite de contenu et ne mentionne ni modification du site ni prise de contrôle. Son score CVSS 5.3 la classe en sévérité moyenne. Aucune exploitation active n'est signalée à ce jour dans le catalogue KEV de la CISA, ce qui ne garantit pas qu'elle ne soit pas exploitée.

Qui est concerné ?

Sont concernés tous les sites WordPress sur lesquels l'extension Royal Addons for Elementor est installée et active dans une version antérieure à 1.7.1070. Le risque est plus élevé pour les sites qui stockent des données dans des types de contenu non publics, par exemple les messages reçus via des formulaires de contact.

Les sites qui utilisent uniquement l'extension Elementor, sans Royal Addons for Elementor, ne sont pas visés par cet avis. Le nombre d'installations de l'extension vulnérable est non précisé par l'éditeur.

Que faire ?

• Mettre à jour Royal Addons for Elementor vers la version 1.7.1070 ou ultérieure, depuis le tableau de bord WordPress ou votre outil de gestion de parc.
• Si la mise à jour ne peut pas être appliquée rapidement, désactiver temporairement l'extension.
• Vérifier les journaux d'accès du serveur à la recherche de requêtes inhabituelles et répétées émises par des visiteurs non connectés.
• Faire l'inventaire des données sensibles conservées par le site (formulaires, demandes de devis) et évaluer, avec votre délégué à la protection des données, si une fuite doit être notifiée.
• En cas de compromission avérée, restaurer une sauvegarde saine antérieure à l'incident, puis appliquer la mise à jour avant la remise en ligne.

Sources

• NVD : fiche CVE-2026-107100 (avis de référence : description, score et versions).
• WPScan : fiche de la vulnérabilité (recoupement).