Veille sécuritéCMS & e-commerce
P4Moyenne
La fiche NVD publiée le 28 octobre décrit plusieurs actions AJAX non authentifiées de PayPlug for WooCommerce qui n’effectuent aucun contrôle de capacité ni de propriété sur l’identifiant de commande fourni. Un attaquant non authentifié peut modifier, lire ou supprimer définitivement des commandes WooCommerce ; mettre à jour le plugin vers la version 3.1.1 ou ultérieure.
WooCommerceWordPress
IdentifiantCVE-2026-113813
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif3.1.1
Source : CVE-2026-113813 — NVD
Analyse technique
Les actions AJAX concernées opèrent sur un identifiant de commande fourni par l’appelant sans vérification des droits ou de la propriété.
Impact, versions et correctif
Événement datéPublication de la fiche NVD dans la période demandée, le 28 octobre 2026.
ImpactLecture, modification et suppression définitive de commandes WooCommerce par un attaquant non authentifié.
Versions affectéesPayPlug for WooCommerce (Official) avant 3.1.1
Version corrigée3.1.1
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS6.5
EPSS0,15% · percentile 4,4%
Publication2026-10-28T08:16:35.503+02:00
Mise à jour2026-10-28T20:17:09.980+02:00
Action recommandée
Mettre à jour PayPlug for WooCommerce (Official) vers la version 3.1.1 ou ultérieure.
Sources
Priorisation DFS : P4 · 1 source(s).