Veille sécuritéCMS & e-commerce
P4Moyenne
Le plugin Avada (Fusion) Builder jusqu’à la version 3.16.1 incluse expose des valeurs arbitraires de métadonnées utilisateur, dont des données personnelles WooCommerce, à des visiteurs non authentifiés. La fiche NVD publiée pendant la période décrit la vulnérabilité, mais ne fournit pas de version corrigée.
WooCommerceWordPress
IdentifiantCVE-2026-97471
GravitéMoyenne
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-97471
Analyse technique
L’endpoint concerné traite le paramètre args[link_target]. Le nonce nécessaire est exposé en clair sur les pages contenant le shortcode [fusion_instagram].
Impact, versions et correctif
Événement datéPublication de la fiche NVD le 2026-10-14, dans la période demandée.
ImpactUn attaquant non authentifié peut extraire des métadonnées d’utilisateurs, notamment des adresses électroniques, identifiants de connexion et données de facturation WooCommerce.
Versions affectéesToutes les versions jusqu’à 3.16.1 incluse
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS5.3
EPSS0,28% · percentile 19,2%
Publication2026-10-14T04:19:05.483Z
Mise à jour2026-10-14T14:26:59.367Z
Action recommandée
Mettre à jour vers une version corrigée dès qu’elle est disponible; limiter l’exposition du shortcode concerné en attendant.
Sources
Priorisation DFS : P4 · 1 source(s).