Veille sécuritéCMS & e-commerce
P3Critique
Bot for Telegram on WooCommerce pour WordPress permettait de contourner l’authentification et de prendre le contrôle d’un compte. Un attaquant non authentifié connaissant le nom de connexion d’un utilisateur pouvait obtenir une session authentifiée, y compris pour un compte administrateur.
WooCommerceWordPress
IdentifiantCVE-2026-109516
GravitéCritique
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-109516
Analyse technique
Le point d’accès REST du webhook ne vérifiait ni signature ni autorisation; un second point d’accès permettait d’échanger le jeton généré contre un cookie de session.
Impact, versions et correctif
Événement datéNouvelle vulnérabilité publiée dans la fiche NVD le 2026-10-29T04:18:22.763Z, date située dans la période demandée.
ImpactPrise de contrôle possible de comptes WordPress, y compris des comptes administrateurs.
Versions affectéesToutes les versions jusqu’à 1.3.0 incluse
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS9.8
EPSS0,58% · percentile 47,4%
Publication2026-10-29T04:18:22.763Z
Mise à jour2026-10-29T14:56:26.107Z
Action recommandée
Désactiver ou supprimer le plugin concerné jusqu’à disponibilité d’un correctif confirmé.
Sources
Priorisation DFS : P3 · 1 source(s).