Veille sécuritéCMS & e-commerce
P3Critique
CVE-2026-103688 affecte Checkout Files Upload for WooCommerce avant la version 2.4.0 lorsque le réglage des types de fichiers acceptés est laissé vide. Des utilisateurs non authentifiés peuvent alors téléverser des fichiers arbitraires, y compris des fichiers PHP pouvant permettre l’exécution de code sur les serveurs qui exécutent PHP dans le répertoire des téléversements.
WooCommerceWordPress
IdentifiantCVE-2026-103688
GravitéCritique
Exploitationnon connue / non déterminée
Correctif2.4.0
Source : NVD — CVE-2026-103688
Analyse technique
La validation des types de fichiers n’est pas effectuée lorsque le réglage correspondant est vide, option documentée comme acceptant tous les fichiers.
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 2026-10-28T06:16:32.123Z, dans la période demandée; l’horodatage de mise à jour est également dans cette période.
ImpactTéléversement non authentifié de fichiers arbitraires et risque d’exécution de code à distance dans certaines configurations serveur.
Versions affectéesCheckout Files Upload for WooCommerce pour WordPress avant la version 2.4.0
Version corrigée2.4.0
ContournementNe pas laisser vide le réglage des types de fichiers acceptés.
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS9.8
EPSS0,24% · percentile 15,3%
Publication2026-10-28T06:16:32.123Z
Mise à jour2026-10-28T18:17:02.417Z
Action recommandée
Mettre à jour vers la version 2.4.0 ou ultérieure et éviter de laisser vide le réglage des types acceptés tant que la mise à jour n’est pas appliquée.
Sources
Priorisation DFS : P3 · 1 source(s).