Veille sécuritéCMS & e-commerce
P4Moyenne
Dans Productive Commerce, une action AJAX ne vérifie pas les capacités de l’utilisateur et son nonce est exposé sur les pages d’administration. Un utilisateur authentifié peut ainsi activer certaines extensions Productive Commerce déjà installées.
WordPress
IdentifiantCVE-2026-109926
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif1.1.49
Source : NVD — CVE-2026-109926
Analyse technique
Absence de vérification des capacités dans une action AJAX, avec exposition du nonce sur les pages d’administration.
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 2026-10-21T06:16:47.623Z, dans la période demandée.
ImpactUn utilisateur authentifié, notamment un abonné, peut activer des extensions Productive Commerce installées.
Versions affectéesProductive Commerce pour WordPress avant 1.1.49
Version corrigée1.1.49
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS4.3
EPSS0,15% · percentile 3,7%
Publication2026-10-21T06:16:47.623Z
Mise à jour2026-10-21T18:37:38.700Z
Action recommandée
Mettre à jour Productive Commerce vers la version 1.1.49 ou ultérieure.
Sources
Priorisation DFS : P4 · 1 source(s).