Veille sécuritéCMS & e-commerce
P4Moyenne
Sifalo Pay ne vérifie pas que l’utilisateur est autorisé à modifier la commande lors du traitement d’un retour de paiement. Avant la version 2.5.3, un attaquant non authentifié peut écrire des métadonnées de session de paiement sur n’importe quelle commande et faire passer en échec celles en attente de paiement.
WordPress
IdentifiantCVE-2026-94260
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif2.5.3
Source : NVD — CVE-2026-94260
Analyse technique
Le traitement du retour de paiement ne vérifie ni la propriété de la commande ni l’autorisation de la modifier.
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 2026-10-14 à 07:17:05.370Z, dans la période demandée; c’est cette date de publication, et non la modification ultérieure, qui est retenue.
ImpactLes données de paiement d’une commande peuvent être modifiées et une commande en attente peut être forcée en échec.
Versions affectéesSifalo Pay versions antérieures à 2.5.3
Version corrigée2.5.3
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS5.3
EPSS0,17% · percentile 5,5%
Publication2026-10-14T07:17:05.370Z
Mise à jour2026-10-14T16:14:02.800Z
Action recommandée
Mettre à jour Sifalo Pay vers la version 2.5.3 ou ultérieure.
Sources
Priorisation DFS : P4 · 1 source(s).