Veille sécuritéCMS & e-commerce
P4Moyenne
CVE-2026-108073 concerne l’API REST de SureCart, qui autorise les visiteurs anonymes à inclure des objets liés à un tunnel de vente sans filtrer leurs champs privés. Des données internes de catalogue — notamment prix, commissions, stocks, SKU et taxes — peuvent être exposées, y compris pour des produits non publiés.
WordPress
IdentifiantCVE-2026-108073
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif4.9.5
Source : NVD — CVE-2026-108073
Analyse technique
La lecture d’un tunnel de vente via l’API REST n’impose pas de restriction suffisante sur les objets liés et leurs champs privés.
Impact, versions et correctif
Événement datéPublication de la fiche NVD le 2026-10-21, dans la période demandée.
ImpactDes visiteurs non authentifiés peuvent consulter des données privées de catalogue, y compris celles de produits non publiés.
Versions affectéesVersions antérieures à 4.9.5
Version corrigée4.9.5
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS5.3
EPSS0,16% · percentile 5,3%
Publication2026-10-21T08:16:47.403+02:00
Mise à jour2026-10-21T20:37:38.700+02:00
Action recommandée
Mettre à jour SureCart vers la version 4.9.5 ou ultérieure.
Sources
Priorisation DFS : P4 · 1 source(s).