Veille sécuritéCMS & e-commerce
P4Moyenne
Payment Gateway for Telcell ne valide pas l’authenticité des notifications de paiement, car le secret de signature est vide par défaut, permettant à un attaquant non authentifié de falsifier une notification et de marquer des commandes comme payées. Les versions antérieures à 2.0.5 sont concernées ; mettre à jour vers la version 2.0.5 ou ultérieure.
WooCommerceWordPress
IdentifiantCVE-2026-103301
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif2.0.5
Source : NVD — CVE-2026-103301
Analyse technique
Le secret de signature des notifications est vide par défaut et la notification entrante n’est donc pas authentifiée ; le gestionnaire peut aussi marquer une commande choisie comme échouée si la signature est invalide.
Impact, versions et correctif
Événement datéLa fiche NVD a été publiée le 2026-10-21 à 09:17:05.883Z, soit le 2026-10-21 à 11:17:05.883+02:00, dans la période retenue.
ImpactUn attaquant non authentifié peut falsifier les notifications et faire marquer des commandes comme payées ou échouées.
Versions affectéesPayment Gateway for Telcell, versions antérieures à 2.0.5
Version corrigée2.0.5
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS5.3
EPSS0,11% · percentile 1,4%
Publication2026-10-21T11:17:05.883+02:00
Mise à jour2026-10-21T20:37:38.700+02:00
Action recommandée
Mettre à jour Payment Gateway for Telcell vers la version 2.0.5 ou ultérieure.
Sources
Priorisation DFS : P4 · 1 source(s).