Veille sécuritéCMS & e-commerce
P4Moyenne
Le point de terminaison REST public du plugin Wava Payment ne vérifie ni les autorisations, ni le nonce, ni l’origine, ce qui permet à un attaquant non authentifié de modifier les identifiants du compte marchand, de forcer l’état de vérification ou de retirer le moyen de paiement du paiement en caisse. Les versions antérieures à 0.3.10 sont concernées ; mettre à jour vers 0.3.10 ou une version ultérieure.
WordPress
IdentifiantCVE-2026-87838
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif0.3.10
Source : NVD — CVE-2026-87838
Analyse technique
Absence de vérification d’autorisation, de nonce et d’origine sur un point de terminaison REST public ; modification possible des identifiants du marchand et de l’état de l’intégration.
Impact, versions et correctif
Événement datéLa fiche NVD a été publiée le 2026-10-21 à 06:16:50.523Z, soit le 2026-10-21 à 08:16:50.523+02:00, dans la période retenue.
ImpactUn attaquant non authentifié peut modifier le compte marchand utilisé pour les paiements, forcer l’intégration en état vérifié ou supprimer le moyen de paiement du checkout.
Versions affectéesWava Payment Plugin pour WordPress, versions antérieures à 0.3.10
Version corrigée0.3.10
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS6.5
EPSS0,14% · percentile 3,3%
Publication2026-10-21T08:16:50.523+02:00
Mise à jour2026-10-21T20:37:38.700+02:00
Action recommandée
Mettre à jour le plugin Wava Payment vers la version 0.3.10 ou ultérieure.
Sources
Priorisation DFS : P4 · 1 source(s).