Veille sécuritéCMS & e-commerce
P3Élevée
Le plugin Vitepos pour WooCommerce présente une injection SQL via le paramètre src_by. La route REST concernée est accessible sans authentification selon la description, ou par un compte disposant d’un rôle POS, et peut permettre l’extraction de données de la base.
WooCommerceWordPress
IdentifiantCVE-2026-92766
GravitéÉlevée
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-92766
Analyse technique
Le paramètre fourni par l’utilisateur est insuffisamment échappé et la requête SQL n’est pas suffisamment préparée sur la route REST /vitepos/v1/vendor/list.
Impact, versions et correctif
Événement datéLa fiche NVD a été publiée pendant la période demandée, le 2026-10-16.
ImpactDes requêtes SQL injectées peuvent permettre à un attaquant d’extraire des informations sensibles de la base de données.
Versions affectéesVersions jusqu’à 3.5.1 inclus
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS7.5
EPSS0,33% · percentile 24,5%
Publication2026-10-16T09:17:04.963Z
Mise à jour2026-10-16T15:17:35.763Z
Action recommandée
Mettre à jour Vitepos dès qu’une version corrective est disponible et limiter l’attribution des rôles POS.
Sources
Priorisation DFS : P3 · 1 source(s).