Veille sécuritéCMS & e-commerce
P4Moyenne
NotificationX autorise les soumissions sur un point d’accès REST sans authentification ni contrôle approprié du type de campagne, ce qui permet d’injecter de fausses entrées de preuve sociale. Les versions jusqu’à 3.3.3 inclus sont concernées ; aucun correctif ni contournement n’est précisé dans les données fournies.
WordPress
IdentifiantCVE-2026-110721
GravitéMoyenne
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-110721
Analyse technique
La route /notificationx/v1/popup-submit utilise une permission toujours autorisée et accepte un identifiant de campagne fourni par l’attaquant, sans vérifier que la campagne est un popup.
Impact, versions et correctif
Événement datéPublication NVD le 2026-10-16 ; l’événement retenu est la publication de la vulnérabilité, datée dans la période demandée.
ImpactCréation non autorisée d’entrées de contenu trompeuses dans des campagnes NotificationX activées.
Versions affectéesToutes les versions jusqu’à 3.3.3 inclus
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS5.3
EPSS0,25% · percentile 14,7%
Publication2026-10-16T05:17:30.097Z
Mise à jour2026-10-16T15:17:11.883Z
Action recommandée
Mettre à jour vers une version corrigée dès qu’elle est disponible ; surveiller et modérer les entrées NotificationX.
Sources
Priorisation DFS : P4 · 1 source(s).