Veille sécuritéCMS & e-commerce
P3Élevée
Le plugin Membership & User Roles for WooCommerce peut réattribuer un rôle auparavant révoqué, y compris le rôle Administrateur, à un utilisateur authentifié. Le scénario décrit exige notamment que le compte ait auparavant reçu ce rôle et que le mode Replace Roles soit activé.
WooCommerceWordPress
IdentifiantCVE-2026-104767
GravitéÉlevée
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-104767
Analyse technique
La fonction d’attribution restaure des rôles conservés dans le cache de métadonnées utilisateur sans vérifier qu’ils sont encore attribués par le fournisseur externe.
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 2026-10-14, dans la période. L’item est retenu comme vulnérabilité publiée à cette date, et non sur la seule base de sa date de modification.
ImpactUn attaquant authentifié disposant au moins du rôle Abonné peut, sous les conditions décrites, restaurer un rôle Administrateur précédemment révoqué.
Versions affectéesVersions jusqu’à 20260828 incluse.
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS7.5
EPSS0,35% · percentile 26,4%
Publication2026-10-14T02:16:56.360Z
Mise à jour2026-10-14T14:26:59.367Z
Action recommandée
Mettre à jour vers une version corrigée dès qu’elle est disponible; dans l’intervalle, examiner les comptes et rôles affectés et désactiver le mode Replace Roles si cela convient à l’usage.
Sources
Priorisation DFS : P3 · 1 source(s).