Veille sécuritéCMS & e-commerce
P3Élevée
Product Designer for WooCommerce (Lumise) jusqu’à la version 2.1.2 permet la lecture de fichiers arbitraires du serveur par traversée de répertoires. L’exploitation ne nécessite pas d’authentification, le nonce requis étant accessible aux visiteurs ; mettre à jour vers une version corrigée, si disponible.
WooCommerceWordPress
IdentifiantCVE-2026-15323
GravitéÉlevée
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-15323
Analyse technique
La fonction process_checkout de l’endpoint /?lumise=cart permet une traversée de répertoires ; le nonce lumise_security peut être obtenu sans authentification via le gestionnaire d’initialisation AJAX.
Impact, versions et correctif
Événement datéPublication de la fiche NVD le 2026-10-28 ; seule cette publication est retenue comme événement dans la période. La mise à jour NVD du 2026-10-29 est postérieure à la borne de fin.
ImpactUn attaquant non authentifié peut lire des fichiers arbitraires contenant potentiellement des informations sensibles.
Versions affectéesToutes les versions jusqu’à 2.1.2 incluse
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS7.5
EPSS0,86% · percentile 58,4%
Publication2026-10-28T06:16:36.043Z
Mise à jour2026-10-29T02:16:51.693Z
Action recommandée
Mettre à jour Lumise vers une version corrigée lorsqu’elle est disponible.
Sources
Priorisation DFS : P3 · 1 source(s).