Popup Builder : suppression non autorisée de popups publiées

Veille sécuritéCMS & e-commerce

P3Critique

Popup Builder jusqu’à la version 4.4.5 permet à un attaquant non authentifié de supprimer de l’affichage toutes les fenêtres contextuelles publiées par une seule requête GET. Le défaut résulte d’un contrôle d’autorisation insuffisant et d’un comportement de recherche qui fait prendre la branche de suppression pour les popups publiées lorsque le paramètre concerné est présent.

IdentifiantCVE-2026-89270

GravitéCritique

Exploitationnon connue / non déterminée

CorrectifNon précisé dans les sources

Source : NVD — CVE-2026-89270

Analyse technique

La source décrit une requête GET sans authentification pouvant mettre à la corbeille l’ensemble des popups publiées. Aucune version corrigée n’est indiquée dans les données fournies.

Impact, versions et correctif

Événement datéFiche CVE publiée pendant la période le 2026-10-31 ; la mise à jour NVD postérieure au 2026-11-01 est exclue de l’évaluation.

ImpactMise à la corbeille non autorisée de toutes les popups publiées du site.

Versions affectéesToutes les versions jusqu’à 4.4.5 incluse.

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS9.1

EPSS0,39% · percentile 33,6%

Publication2026-10-31T07:16:37.707Z

Action recommandée

Mettre à jour vers une version corrigée lorsqu’elle sera disponible ; restreindre l’accès au plugin et vérifier l’état des popups publiées.

Sources

NVD — CVE-2026-89270

Priorisation DFS : P3 · 1 source(s).