Veille sécuritéCMS & e-commerce
P4Moyenne
Le plugin Payment Integration Wompi jusqu’à la version 4.0.1 ne vérifie pas correctement l’authenticité de certaines notifications de paiement lorsque le secret marchand n’a pas été configuré. Un attaquant non authentifié peut alors falsifier une notification et faire marquer une commande comme payée.
WordPress
IdentifiantCVE-2026-103312
GravitéMoyenne
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-103312
Analyse technique
La vérification s’appuie sur un secret marchand vide tant qu’il n’est pas configuré.
Impact, versions et correctif
Événement datéLa fiche CVE a été publiée le 2026-10-27T06:17:23.120Z, dans la période demandée. La modification NVD ultérieure au 2026-10-28T00:00:00+02:00 n’est pas retenue comme événement.
ImpactFalsification de confirmations de paiement et marquage indu de commandes comme payées.
Versions affectéesPayment Integration Wompi jusqu’à 4.0.1 inclus
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS5.3
EPSS0,17% · percentile 6,8%
Publication2026-10-27T06:17:23.120Z
Mise à jour2026-10-28T18:17:01.213Z
Action recommandée
Vérifier la configuration du secret marchand et appliquer une version corrigée dès sa disponibilité.
Sources
Priorisation DFS : P4 · 1 source(s).