Popup Builder ranjivost omogućava premeštanje svih objavljenih iskačućih prozora u korpu

Šta se desilo?

Wordfence je objavio CVE-2026-89270 u WordPress dodatku Popup Builder, sa CVSS 3.1 ocenom 9,1 (Critical). Propust omogućava napadaču bez prijave da sve objavljene iskačuće prozore premesti u korpu. To nije isto što i trajno brisanje svih podataka sajta.

Koga pogađa?

Pogođeni su sajtovi sa Popup Builder dodatkom u verziji 4.4.5 ili starijoj. Posledice mogu uključiti nestanak promotivnih poruka ili obrazaca koji zavise od tih prozora. Nije reč o ranjivosti WordPress jezgra.

Kako se zaštititi?

• Ažurirajte Popup Builder na 4.4.6 ili novije zakrpljeno izdanje.
• Ako zakrpu ne možete primeniti, privremeno deaktivirajte dodatak i proverite uticaj na sajt.
• Pregledajte listu prozora i korpu, kao i raspoložive pristupne zapise.
• Sačuvajte rezervnu kopiju i vratite legitimne prozore tek po uklanjanju ranjivosti.

Tehnički detalji

Nedostaje odgovarajuća provera ovlašćenja. Dodatna greška u funkciji SGPopup::find() omogućava da pripremljeni zahtev zahvati sve objavljene prozore. Wordfence potvrđuje zakrpu 4.4.6. Provereni zapis ne potvrđuje aktivnu eksploataciju ove ranjivosti.

Zašto je važno?

Neovlašćeno uklanjanje sadržaja iz objave može ometati komunikaciju sa posetiocima i poslovne procese, čak i kada je sadržaj moguće vratiti iz korpe.