Veille sécuritéCMS & e-commerce
P4Moyenne
Smart Popup by Supsystic ne bloque pas certains contenus d’injection de modèle stockés dans un bloc de texte de popup, puis évalués par le moteur de modèles. Un administrateur authentifié peut ainsi exécuter des expressions de modèle côté serveur et lire des constantes PHP, notamment des identifiants de base de données ou des clés d’authentification du site.
WordPress
IdentifiantCVE-2026-115223
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif2.0.2
Source : NVD — CVE-2026-115223
Analyse technique
Le filtrage des délimiteurs de modèle intervient avant une étape de décodage qui les reconstitue.
Impact, versions et correctif
Événement datéPublication de la fiche NVD le 2026-10-28, dans la période demandée.
ImpactExécution d’expressions de modèle côté serveur et lecture de constantes PHP sensibles par un administrateur authentifié.
Versions affectéesVersions antérieures à 2.0.2
Version corrigée2.0.2
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS4.9
Publication2026-10-28T11:17:15.800Z
Mise à jour2026-10-28T18:17:11.520Z
Action recommandée
Mettre à jour Smart Popup by Supsystic vers la version 2.0.2 ou ultérieure.
Sources
Priorisation DFS : P4 · 1 source(s).