CVE-2026-4024

WordPress için geliştirilen Royal Addons for Elementor eklentisi, 1.7.1056 dahil önceki tüm sürümlerde `wpr_update_form_action_meta` AJAX işlemindeki yetenek kontrolü eksikliği nedeniyle verilerin yetkisiz şekilde değiştirilmesine karşı savunmasızdır. İşleyici hem `wp_ajax` hem de `wp_ajax_nopriv` kancalarına kaydedilmiştir ve bu durum işlemi kimlik doğrulaması yapmamış kullanıcılar için erişilebilir kılmaktadır. Bir nonce doğrulanıyor olsa da, nonce (`wpr-addons-js`), Royal Addons widget'larının yüklendiği herhangi bir sayfada ön uç JavaScript üzerinden `WprConfig.nonce` aracılığıyla herkese açık olarak sunulmakta ve bu da korumayı etkisiz hale getirmektedir. Uç nokta ayrıca herhangi bir yetenek veya sahiplik kontrolüne sahip değildir ve beyaz listedeki bir dizi form işlem meta anahtarı üzerinde kullanıcı kontrollü girdi ile doğrudan `update_post_meta()` fonksiyonunu çağırmaktadır. Bu durum, kimlik doğrulaması yapmamış saldırganların herhangi bir yazıdaki form işlem yapılandırma meta verilerini (e-posta, gönderimler, Mailchimp ve webhook ayarları) değiştirmesini mümkün kılarak; potansiyel olarak webhook/e-posta işlemi manipülasyonuna ve değiştirilmiş webhook URL'leri aracılığıyla veri sızıntısına yol açabilmektedir.