WoowBot : contournement d’autorisation et consommation de crédits API

Veille sécuritéCMS & e-commerce

P4Moyenne

Le plugin AI ChatBot for WooCommerce – WoowBot est vulnérable à un contournement d’autorisation permettant à un utilisateur authentifié de déclencher des synchronisations RAG et de consommer les crédits API payants du site. Les versions jusqu’à 5.0.0 inclus sont concernées ; aucune version corrective ni mesure de contournement n’est indiquée dans les éléments fournis.

IdentifiantCVE-2026-111372

GravitéMoyenne

Exploitationnon connue / non déterminée

CorrectifNon précisé dans les sources

Source : NVD — CVE-2026-111372

Analyse technique

Le nonce wp_chatbot est exposé aux visiteurs authentifiés et l’autorisation de l’action n’est pas correctement vérifiée. Un compte de niveau Abonné ou supérieur peut provoquer des appels payants aux API d’IA configurées.

Impact, versions et correctif

Événement datéLa fiche NVD indique une publication le 2026-10-28T07:16:47.137Z, dans la période demandée. Sa mise à jour du 2026-10-29T02:16:49.593Z est postérieure à la borne de fin et n’est pas retenue comme événement.

ImpactConsommation non autorisée des crédits API et pertes financières potentielles.

Versions affectéesJusqu’à 5.0.0 inclus

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS4.3

EPSS0,27% · percentile 18,9%

Publication2026-10-28T07:16:47.137Z

Action recommandée

Mettre à jour vers une version corrigée dès qu’elle est disponible ; à défaut, limiter l’accès au plugin et surveiller l’usage des clés API.

Sources

NVD — CVE-2026-111372

Priorisation DFS : P4 · 1 source(s).