Veille sécuritéCMS & e-commerce
P4Faible
Cart Abandonment Recovery for WooCommerce ne vérifie pas l’intégrité des jetons de récupération de panier et accepte encore un ancien format non signé, permettant à un attaquant connaissant l’identifiant de session du panier d’en modifier l’enregistrement. Les versions antérieures à 2.2.0 sont concernées ; mettre à jour vers la version 2.2.0 ou ultérieure.
WooCommerceWordPress
IdentifiantCVE-2026-96901
GravitéFaible
Exploitationnon connue / non déterminée
Correctif2.2.0
Source : NVD — CVE-2026-96901
Analyse technique
Un jeton de récupération non signé est accepté sans vérification de son intégrité ; la modification nécessite de connaître l’identifiant de session du panier visé.
Impact, versions et correctif
Événement datéLa fiche NVD a été publiée le 2026-10-21 à 06:16:51.170Z, soit le 2026-10-21 à 08:16:51.170+02:00, dans la période retenue.
ImpactUn attaquant connaissant l’identifiant de session peut modifier l’enregistrement d’un panier abandonné, notamment désinscrire la personne des courriels de relance ou appliquer un coupon arbitraire.
Versions affectéesCart Abandonment Recovery for WooCommerce, versions antérieures à 2.2.0
Version corrigée2.2.0
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS3.7
EPSS0,14% · percentile 2,8%
Publication2026-10-21T08:16:51.170+02:00
Mise à jour2026-10-21T20:37:38.700+02:00
Action recommandée
Mettre à jour Cart Abandonment Recovery for WooCommerce vers la version 2.2.0 ou ultérieure.
Sources
Priorisation DFS : P4 · 1 source(s).