Réutilisation de jeton et exposition de données dans Germanized for WooCommerce

Veille sécuritéCMS & e-commerce

P4Moyenne

Germanized for WooCommerce est vulnérable à une exposition non autorisée de données privées par réutilisation du jeton d’activation, jusqu’à la version 4.1.4 incluse. Le scénario décrit exige une configuration particulière de la double confirmation, l’inscription publique et la réutilisation du jeton dans son délai d’expiration d’un jour.

IdentifiantCVE-2026-109231

GravitéMoyenne

Exploitationnon connue / non déterminée

CorrectifNon précisé dans les sources

Source : NVD — CVE-2026-109231

Analyse technique

Dans la configuration concernée, le changement d’adresse e-mail ne fait pas tourner le jeton d’activation ni ne le lie à l’adresse visée ; un compte abonné peut alors rattacher à son compte des commandes invité correspondant à l’adresse de facturation de la victime.

Impact, versions et correctif

Événement datéLa fiche NVD indique une publication le 2026-10-31 ; cette publication est l’événement retenu. La mise à jour du 2026-11-03 est postérieure à la période.

ImpactExposition possible du nom, de l’adresse, du téléphone et des articles achetés par un client.

Versions affectéesToutes les versions jusqu’à 4.1.4 incluse.

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS4.3

EPSS0,37% · percentile 30,9%

Publication2026-10-31T10:16:37.660Z

Mise à jour2026-11-03T19:17:47.957Z

Action recommandée

Mettre à jour vers une version corrigée lorsqu’elle est disponible et vérifier les paramètres d’inscription et de double confirmation concernés.

Sources

NVD — CVE-2026-109231

Priorisation DFS : P4 · 1 source(s).