Veille sécuritéCMS & e-commerce
P3Élevée
JTL-Connector for WooCommerce présente une injection SQL temporelle non authentifiée sur le point de liaison d’identité product.push. Sont concernées les versions jusqu’à 2.4.3 incluse ; aucune version corrigée ni mesure de contournement n’est précisée dans la source.
WooCommerceWordPress
IdentifiantCVE-2026-78193
GravitéÉlevée
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-78193
Analyse technique
L’injection survient pendant la liaison d’identité, avant l’exécution de ProductController::push(), et peut permettre l’extraction d’informations de la base de données.
Impact, versions et correctif
Événement datéRetenue comme nouvelle vulnérabilité : la fiche indique une date de publication NVD dans la période, le 2026-10-14. La date de mise à jour NVD est également dans la période, mais n’est pas à elle seule considérée comme l’événement déclencheur.
ImpactUn attaquant non authentifié peut manipuler des requêtes SQL et extraire des informations de la base de données.
Versions affectéesToutes les versions jusqu’à 2.4.3 incluse
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS7.5
EPSS0,42% · percentile 35,1%
Publication2026-10-14T04:18:36.860Z
Mise à jour2026-10-14T19:17:21.223Z
Action recommandée
Mettre à jour vers une version corrigée lorsqu’elle sera disponible ; envisager de désactiver temporairement le connecteur si aucune mesure de protection n’est possible.
Sources
Priorisation DFS : P3 · 1 source(s).