Inclusion de fichier local dans Noptin - developpeur-full-stack.fr

Veille sécuritéCMS & e-commerce

P4Moyenne

Une inclusion de fichier local dans Noptin permet à un visiteur non authentifié de faire enregistrer une valeur malveillante comme prénom, puis de provoquer son inclusion lors de l’envoi d’une newsletter. L’exploitation nécessite toutefois qu’un administrateur effectue cet envoi ; les versions concernées vont jusqu’à 4.4.3 incluse.

IdentifiantCVE-2026-119616

GravitéMoyenne

Exploitationnon connue / non déterminée

CorrectifNon précisé dans les sources

Source : NVD — CVE-2026-119616

Analyse technique

Le paramètre concerné est `noptin_fields[first_name]` sur la page publique Manage Preferences. La valeur peut mener à l’inclusion et à l’exécution de fichiers PHP ; l’action d’envoi de newsletter par un administrateur est nécessaire pour déclencher la faille.

Impact, versions et correctif

Événement datéFiche NVD publiée le 2026-11-07T03:17:02.170Z, dans la période demandée ; la mise à jour indiquée le 2026-11-08 est postérieure à la période.

ImpactLecture de données sensibles ou exécution de code PHP selon les fichiers accessibles et les conditions du serveur.

Versions affectéesNoptin – Newsletter, New Post Notifications & Email Automation jusqu’à 4.4.3 inclus

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS5.9

EPSS0,41% · percentile 35,6%

Publication2026-11-07T03:17:02.170Z

Mise à jour2026-11-08T19:17:35.283Z

Action recommandée

Mettre à jour vers une version corrigée lorsqu’elle est disponible ; contrôler les inscriptions et préférences enregistrées et limiter les envois de newsletter jusqu’à correction.

Sources

NVD — CVE-2026-119616

Priorisation DFS : P4 · 1 source(s).