Veille sécuritéCMS & e-commerce
P3Élevée
Le module WordPress GTM Server Side de stape.io peut exposer dans la page les données complètes de commande WooCommerce d’un autre client, notamment des données personnelles, via le dataLayer JavaScript. Le défaut concerne les versions à partir de 2.0.0 et antérieures à 2.1.48 ; mettre à jour vers 2.1.48 ou une version ultérieure.
JavaScriptWooCommerceWordPress
IdentifiantCVE-2026-55826
GravitéÉlevée
Exploitationnon connue / non déterminée
Correctif2.1.48
Source : NVD — CVE-2026-55826
Analyse technique
Un attaquant non authentifié peut déclencher le rendu des données de commande d’un autre client dans le dataLayer de la page.
Impact, versions et correctif
Événement datéLa fiche indique une première publication le 2026-10-23, pendant la période demandée ; l’événement retenu est la divulgation de la vulnérabilité.
ImpactExposition de données personnelles et d’informations complètes de commande dans le navigateur.
Versions affectéesVersions 2.0.0 à toute version antérieure à 2.1.48
Version corrigée2.1.48
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS8.7
Publication2026-10-23T14:17:54.017Z
Mise à jour2026-10-23T19:57:42.660Z
Action recommandée
Mettre à jour le module vers la version 2.1.48 ou ultérieure.
Sources
Priorisation DFS : P3 · 1 source(s).