Royal Elementor Addons : détournement des e-mails de formulaire corrigé en 1.7.1070

En bref

• Produit : Royal Elementor Addons, extension WordPress qui ajoute des widgets et des formulaires au constructeur de pages Elementor.
• Versions affectées : toutes les versions antérieures à 1.7.1070.
• Version corrigée : 1.7.1070.
• Sévérité : moyenne (CVSS 5.3).
• CVE : CVE-2026-106648.
• Exploitation active : inconnu.
• Date de l'avis : 28 octobre 2026.

La base de vulnérabilités américaine NVD a publié le 28 octobre 2026 la fiche CVE-2026-106648, qui concerne l'extension Royal Elementor Addons. La faille touche les e-mails de notification envoyés après la soumission d'un formulaire. Elle est corrigée dans la version 1.7.1070.

De quoi s'agit-il ?

Selon l'avis, l'extension ne valide pas les valeurs saisies dans les champs d'un formulaire avant de les reprendre dans les adresses des destinataires de ses e-mails de notification. Lorsqu'un champ destinataire est configuré pour reprendre une valeur soumise par le visiteur, un attaquant non authentifié peut remplacer la liste des destinataires.

La conséquence décrite est un détournement de l'envoi d'e-mails : le site peut relayer des messages rédigés par l'attaquant, expédiés depuis son propre nom de domaine. Le risque principal est donc l'usage du site comme relais de spam ou d'hameçonnage, avec une atteinte possible à la réputation du domaine et à la délivrabilité de ses e-mails légitimes. L'avis ne décrit ni prise de contrôle du site ni accès aux données.

Le score CVSS de 5.3 classe la faille en sévérité moyenne. À la date de l'avis, elle ne figure pas au catalogue des vulnérabilités activement exploitées de la CISA, et aucune exploitation réelle n'est documentée par les sources consultées.

Qui est concerné ?

Sont concernés les sites WordPress qui utilisent Royal Elementor Addons dans une version antérieure à 1.7.1070. Le scénario décrit suppose qu'un formulaire de l'extension soit en place et qu'un champ destinataire de la notification reprenne une valeur saisie par le visiteur. Un site qui n'utilise pas les formulaires de l'extension, ou dont les destinataires sont des adresses fixes, est moins exposé, mais la mise à jour reste recommandée.

Attention à ne pas confondre : il s'agit de l'extension tierce Royal Elementor Addons, et non du constructeur Elementor lui-même. Le nombre de sites concernés n'est pas précisé par l'éditeur.

Que faire ?

• Mettre à jour Royal Elementor Addons vers la version 1.7.1070 ou une version ultérieure.
• Vérifier la configuration des formulaires : privilégier des adresses de destination fixes plutôt qu'une valeur saisie par le visiteur.
• Consulter les journaux d'envoi d'e-mails du site et de votre service d'envoi pour repérer des volumes inhabituels ou des destinataires inconnus.
• Surveiller la réputation du domaine (signalements de spam, listes de blocage) si des envois suspects sont constatés.
• En cas de compromission avérée du site, restaurer une sauvegarde saine antérieure à l'incident, puis appliquer la mise à jour avant la remise en ligne.

Sources

• NVD : fiche CVE-2026-106648
• WPScan : fiche de la vulnérabilité