Customer Email Verification for WooCommerce présente un contournement de vérification d’adresse électronique reposant sur un jeton prévisible, qui peut permettre à un attaquant non authentifié de se connecter comme un client WooCommerce ou de marquer un compte comme vérifié. Toutes les versions jusqu’à 2.8.2 inclus sont concernées ; l’exploitation décrite dépend de la présence d’une colonne `password` dans la table `cev_user_log`, présente sur certains sites mis à niveau depuis une ancienne version mais absente du schéma d’installation vierge 2.8.2.
Source : NVD — CVE-2026-109236
Analyse technique
La fonction de vérification manque de contrôle de capacité et de nonce ; le jeton est dérivé de l’adresse électronique et de l’heure. L’exploitation décrite nécessite que la table `cev_user_log` contienne une colonne `password`, condition pouvant concerner des installations mises à niveau.
Impact, versions et correctif
Action recommandée
Vérifier la présence de la colonne `password` dans `cev_user_log` et appliquer une version corrigée dès qu’elle est disponible ; aucune version corrigée n’est précisée dans les informations fournies.
Sources
Priorisation DFS : P4 · 1 source(s).