CVE-2026-89270

KrytyczneCVSS 9.1

Opublikowano: 31/10/2026(UTC)Przetłumaczono: 31/10/2026(UTC)NVD NIST

Streszczenie

Wtyczka Popup Builder dla WordPressa w wersjach do 4.4.5 włącznie nie weryfikuje uprawnień użytkownika do wykonywania akcji. Nieuwierzytelniony atakujący może jednym żądaniem GET przenieść do kosza wszystkie opublikowane popupy w serwisie, a dodatkowa wada w SGPopup::find() powoduje, że atak dotyczy wszystkich popupów jednocześnie.

Ocena ryzyka

Atakujący bez logowania może zniszczyć wszystkie popupy marketingowe w serwisie, co może zakłócić kampanie i komunikację z klientami. Wada jest łatwa do wykorzystania zdalnie i nie wymaga żadnych danych uwierzytelniających.

Rekomendacja

Zaktualizuj wtyczkę Popup Builder do wersji nowszej niż 4.4.5, a do czasu aktualizacji rozważ jej wyłączenie lub ograniczenie dostępu do serwisu.

Inne podatności w Popup Builder WordPress plugin

CVE-2026-112230Niskie
Wtyczka WordPress Popup Builder przed 4.4.6 nie wykonuje kontroli autoryzacji przed przeniesieniem treści popupów do kosza w rutynie konserwacyjnej uruchamianej przy nieuwierzytelnionych żądaniach. Pozwala to nieuwierzytelnionym atakującym przenieść dotknięte popupy do kosza i nadpisać ich przechowywane dane podglądu.

Oryginalny opis (angielski, źródło NVD)

The Popup Builder – Create highly converting, mobile friendly marketing popups. plugin for WordPress is vulnerable to authorization bypass in all versions up to, and including, 4.4.5 This is due to the plugin not properly verifying that a user is authorized to perform an action. This makes it possible for unauthenticated attackers to trash all published popups on the site with a single unauthenticated GET request. The attack is amplified by a second flaw in SGPopup::find(), which returns false for every normally published popup when the sg_popup_preview_id parameter is present, causing the trash branch to fire against every popup on the site simultaneously.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS