Popup Box : exécution de shortcodes arbitraires via l’adresse IP injectée

Veille sécuritéCMS & e-commerce

P4Moyenne

Le plugin Popup Box pour WordPress présente une faille d’exécution de shortcodes arbitraires dans les versions 6.4.1 à 6.4.2. Si le contenu d’une fenêtre contextuelle contient le jeton `%%user_ip_address%%`, des en-têtes HTTP contrôlés par le client peuvent injecter des attributs de shortcode, ensuite exécutés côté serveur; mettre à jour vers une version corrigée.

IdentifiantCVE-2026-100159

GravitéMoyenne

Exploitationnon connue / non déterminée

CorrectifNon précisé dans les sources

Source : NVD — CVE-2026-100159

Analyse technique

La valeur des en-têtes Client-IP / X-Forwarded-For / Forwarded et variantes est insérée sans échappement dans le contenu de la popup, puis traitée par `do_shortcode()`. L’exploitation dépend de la présence du jeton dans le contenu de la popup; un attaquant non authentifié peut alors déclencher les shortcodes installés.

Impact, versions et correctif

Événement datéNouvelle vulnérabilité publiée le 2026-10-16; la date de publication, et non la mise à jour NVD, est retenue dans la période demandée.

ImpactL’exécution de shortcodes côté serveur peut exposer des données ou déclencher les actions offertes par les shortcodes présents sur le site.

Versions affectéesPopup Box 6.4.1 à 6.4.2

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS4.8

EPSS0,26% · percentile 16,3%

Publication2026-10-16T03:17:58.000Z

Mise à jour2026-10-16T15:16:58.060Z

Action recommandée

Mettre à jour Popup Box vers une version corrigée dès qu’elle est disponible; en attendant, retirer le jeton `%%user_ip_address%%` du contenu des popups.

Sources

NVD — CVE-2026-100159

Priorisation DFS : P4 · 1 source(s).