Veille sécuritéCMS & e-commerce
P4Non déterminée
Le plugin Payment Gateway ne vérifie pas que le secret partagé est configuré avant de l’utiliser pour authentifier les notifications bancaires. Selon la description publiée, les notifications forgées peuvent marquer des commandes payées lorsque le secret est absent, et faire passer des commandes en attente à l’état échoué.
WooCommerceWordPress
IdentifiantCVE-2026-103299
GravitéNon déterminée
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-103299
Analyse technique
La modification d’état en échec est également décrite lorsque le secret est configuré. Aucun score ni correctif n’est indiqué dans les informations disponibles.
Impact, versions et correctif
Événement datéPublication NVD le 2026-10-26, dans la période demandée.
ImpactFalsification possible du statut de paiement ou d’échec de commandes WooCommerce.
Versions affectéesPayment Gateway jusqu’à 2.2.0 inclus
Exploitation activenon connue / non déterminée
PoC publicinconnu
EPSS0,14% · percentile 3,1%
Publication2026-10-26T09:17:06.870+02:00
Mise à jour2026-10-26T15:52:56.910+02:00
Action recommandée
Désactiver le module jusqu’à disponibilité d’un correctif et vérifier les changements de statut des commandes.
Sources
Priorisation DFS : P4 · 1 source(s).