Veille sécuritéCMS & e-commerce
P4Moyenne
Royal Elementor Addons ne valide pas les valeurs de champs soumises avant de les utiliser dans les destinataires des courriels de notification de formulaire. Si un champ destinataire reprend une valeur soumise, un attaquant non authentifié peut détourner la liste des destinataires et faire relayer un courriel composé par l’attaquant depuis le domaine du site.
WordPress
IdentifiantCVE-2026-106648
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif1.7.1070
Source : NVD — CVE-2026-106648
Analyse technique
La vulnérabilité concerne les formulaires dont la configuration utilise une valeur soumise pour déterminer le destinataire des notifications.
Impact, versions et correctif
Événement datéPublication de la fiche NVD le 2026-10-28, dans la période demandée.
ImpactDétournement des destinataires et relais de courriels depuis le domaine du site.
Versions affectéesVersions antérieures à 1.7.1070
Version corrigée1.7.1070
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS5.3
Publication2026-10-28T11:17:14.527Z
Mise à jour2026-10-28T18:17:04.907Z
Action recommandée
Mettre à jour Royal Elementor Addons vers la version 1.7.1070 ou ultérieure.
Sources
Priorisation DFS : P4 · 1 source(s).