Вразливість довільного читання файлів у Royal Addons for Elementor (CVE-2026-8118)

Що відомо

Плагін Royal Addons for Elementor для WordPress у версіях 1.7.1058–1.7.1059 містить уразливість довільного читання файлів через недостатню перевірку URL у функції wpr_get_csv_handle(). Атакуючі з рівнем доступу Contributor і вище можуть отримати вміст будь-яких файлів, доступних PHP-процесу, включно з wp-config.php.

Бізнес-вплив

Ця уразливість дозволяє зловмисникам з обмеженим доступом отримувати конфіденційну інформацію з файлів сервера, що може призвести до компрометації сайту та подальших атак. Власники інфраструктури повинні врахувати ризики витоку даних і потенційного порушення цілісності системи.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень плагіна від розробника та негайно застосувати їх. Якщо оновлення недоступні, слід обмежити доступ користувачів до рівня Contributor і вище, провести аудит логів на предмет підозрілої активності та мінімізувати експозицію вразливого функціоналу.

Джерела

• NVD
• Reference
• Reference