Veille sécuritéCMS & e-commerce
P4Moyenne
Dans sa configuration par défaut, Simple Shopping Cart ne vérifie pas que la notification PayPal concerne un paiement reçu par le compte du propriétaire du site, permettant à un attaquant non authentifié de faire marquer une commande comme payée à partir d’un paiement destiné à son propre compte. Les versions antérieures à 5.3.3 sont concernées ; mettre à jour vers la version 5.3.3 ou ultérieure.
WordPress
IdentifiantCVE-2026-104641
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif5.3.3
Source : NVD — CVE-2026-104641
Analyse technique
Dans la configuration par défaut, la notification PayPal n’est pas liée au compte PayPal du propriétaire du site.
Impact, versions et correctif
Événement datéLa fiche NVD a été publiée le 2026-10-21 à 09:17:05.987Z, soit le 2026-10-21 à 11:17:05.987+02:00, dans la période retenue.
ImpactUn attaquant non authentifié peut faire marquer une commande comme payée à partir d’un paiement versé à un compte qu’il contrôle.
Versions affectéesSimple Shopping Cart, versions antérieures à 5.3.3
Version corrigée5.3.3
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS5.3
EPSS0,11% · percentile 1,4%
Publication2026-10-21T11:17:05.987+02:00
Mise à jour2026-10-21T20:37:38.700+02:00
Action recommandée
Mettre à jour Simple Shopping Cart vers la version 5.3.3 ou ultérieure.
Sources
Priorisation DFS : P4 · 1 source(s).