漏洞速览
- 漏洞编号：
CVE-2026-17123 - 风险评分：
8.8（高危） - 首次披露：2026-08-15
- 最近更新：2026-08-15
- 软件类型：插件
- 软件标识：
royal-elementor-addons - 受影响版本：<= 1.7.1064
- 修复版本：1.7.1065
- 是否已修复：是
漏洞详情
Royal Elementor Addons 插件在 1.7.1064 及之前版本中存在服务器端请求伪造（SSRF）漏洞，问题出在 Form Builder 小工具的 webhook_url 设置。 该小工具的 render() 方法在每次渲染时都会将攻击者可控制的 URL 写入 wpr_webhook_url_{widget_id} 选项（包括贡献者预览自己的草稿时也会写入），而 wpr_form_builder_webhook AJAX 处理器——无论是已认证还是未认证的调用者均可触发——会读取该选项并通过非安全函数 wp_remote_post() 发起外部请求。
整个过程没有任何主机白名单、协议限制，也没有对私有地址/回环 IP 进行过滤（插件已有的 wpr_is_blocked_remote_host / wpr_is_private_or_local_ip 辅助函数在该调用路径中并未被调用）。 这使得拥有贡献者（Contributor）及以上权限的已认证攻击者能够以 Web 应用的身份向任意地址发起请求，从而可以查询和修改内部服务中的数据。
影响与风险
- 漏洞类型：Authenticated (Contributor+) Server-Side Request Forgery via Form Builder Widget 'webhook_url' Setting
- 风险说明：漏洞可能被利用以执行未授权操作，建议按官方修复方案立即升级并复核安全配置。
- 研究人员：TarPeg007 – Independent Security Researcher
修复建议
- 按官方建议执行修复：更新至 1.7.1065 或更高已修复版本。
- 复核
administrator/shop manager等高权限账号与角色授权。 - 排查近期插件安装/配置变更记录，确认无异常写入。
- 建议配合 WAF 与登录审计，持续观察可疑请求。
