Veille sécuritéCMS & e-commerce
P4Moyenne
CVE-2026-106932 concerne plusieurs actions AJAX authentifiées du plugin Moloni qui ne vérifient ni les capacités ni les nonces. Un utilisateur authentifié, par exemple un abonné, peut notamment créer des factures pour des commandes arbitraires, supprimer des commandes ou modifier des produits et des stocks.
WordPress
IdentifiantCVE-2026-106932
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif5.0.14
Source : NVD — CVE-2026-106932
Analyse technique
Absence de contrôles de capacité et de nonce sur plusieurs actions AJAX authentifiées.
Impact, versions et correctif
Événement datéPublication de la fiche NVD le 2026-10-21, dans la période demandée.
ImpactDes utilisateurs authentifiés de faible privilège peuvent effectuer des opérations non autorisées sur des commandes, produits et stocks.
Versions affectéesVersions antérieures à 5.0.14
Version corrigée5.0.14
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS6.5
EPSS0,15% · percentile 3,7%
Publication2026-10-21T08:16:46.580+02:00
Mise à jour2026-10-21T20:37:38.700+02:00
Action recommandée
Mettre à jour Moloni vers la version 5.0.14 ou ultérieure.
Sources
Priorisation DFS : P4 · 1 source(s).