Contournement d’autorisation dans Hustle

Veille sécuritéCMS & e-commerce

P4Moyenne

Hustle jusqu’à la version 7.8.14.3 permet à certains utilisateurs authentifiés disposant de la capacité `hustle_create` de modifier des identifiants d’intégration ESP, et dans le cas de HubSpot de supprimer des options OAuth. La fiche NVD a été publiée pendant la période ; les données fournies ne précisent pas de version corrigée.

IdentifiantCVE-2026-109386

GravitéMoyenne

Exploitationnon connue / non déterminée

CorrectifNon précisé dans les sources

Source : NVD — CVE-2026-109386

Analyse technique

Contrôle d’autorisation insuffisant dans des actions du plugin. L’exploitation requiert la capacité `hustle_create` et un nonce accessible depuis une page d’assistant de module Hustle ; elle peut détourner les soumissions de formulaires vers le compte ESP de l’attaquant.

Impact, versions et correctif

Événement datéPublication de la fiche NVD le 2026-10-31, dans la période demandée. La mise à jour NVD du 2026-11-02 est postérieure et n’est pas retenue comme événement.

ImpactDétournement des prospects soumis via les formulaires et, pour HubSpot, suppression de paramètres OAuth.

Versions affectéesToutes les versions jusqu’à 7.8.14.3 inclusivement

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS4.3

EPSS0,36% · percentile 29,4%

Publication2026-10-31T07:16:34.517Z

Action recommandée

Mettre à jour le plugin dès qu’une version corrigée est disponible ; limiter la capacité `hustle_create` aux utilisateurs qui en ont besoin et vérifier les intégrations ESP.

Sources

NVD — CVE-2026-109386

Priorisation DFS : P4 · 1 source(s).