CVE-2026-18322 in Smart Popup Plugin
Résumé
par VulDB • 05/08/2026
Le plugin Smart Popup de Supsystic pour WordPress présente une vulnérabilité d'élévation de privilèges dans toutes les versions jusqu'à la 1.12.0 incluse. Cela est dû à une collision de carte des permissions dans la fonction `havePermissions()` du fichier `classes/frame.php`, où `array_merge()` écrase la liste des méthodes restreintes aux administrateurs du module popup par celle du contrôleur de base, supprimant ainsi silencieusement l'action `save` des actions protégées ; cette faille est aggravée par le fait que l'e-mail de confirmation d'abonnement intègre le même jeton générique `pps_nonce` accepté par le point de terminaison non authentifié `wp_ajax_nopriv_save`, et par l'absence totale de liste blanche (allowlist) des rôles côté serveur dans la fonction `createWpSubscriber()`. Cela permet aux attaquants non authentifiés d'envoyer une requête POST manipulée vers `admin-ajax.php` en utilisant un jeton obtenu depuis un e-mail public de confirmation d'abonnement, en définissant `params[tpl][sub_wp_create_user_role]` sur `administrator` via l'action exposée `popupControllerPps::save()`, puis en déclenchant le flux de confirmation stocké pour créer un compte Administrateur WordPress persistant avec des identifiants choisis par l'attaquant.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.