Product Filter for WooCommerce : divulgation de produits non publics

Veille sécuritéCMS & e-commerce

P4Moyenne

Product Filter for WooCommerce by WBW jusqu’à la version 3.4.6 ne vérifie pas l’autorisation sur une action AJAX publique qui accepte des arguments de requête contrôlés par l’appelant. Un attaquant non authentifié peut ainsi obtenir des informations sur des produits non publics et déclencher des requêtes non bornées.

IdentifiantCVE-2026-11396

GravitéMoyenne

Exploitationnon connue / non déterminée

CorrectifNon précisé dans les sources

Source : NVD — CVE-2026-11396

Analyse technique

Le paramètre filterSettings[default_query] est fusionné sans contrôle avec les arguments WP_Query de l’action filtersFrontend, enregistrée pour les utilisateurs non authentifiés. La source ne précise pas de version corrigée.

Impact, versions et correctif

Événement datéFiche CVE publiée pendant la période le 2026-10-31 ; la mise à jour NVD postérieure au 2026-11-01 est exclue de l’évaluation.

ImpactDivulgation de produits en brouillon, futurs ou en attente, ainsi que de leurs informations de rendu ; possibilité de requêtes coûteuses ou non bornées.

Versions affectéesToutes les versions jusqu’à 3.4.6 incluse.

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS5.3

EPSS0,23% · percentile 14,0%

Publication2026-10-31T07:16:37.073Z

Action recommandée

Mettre à jour vers une version corrigée lorsqu’elle sera disponible ; limiter l’exposition du plugin aux visiteurs non authentifiés dans l’intervalle.

Sources

NVD — CVE-2026-11396

Priorisation DFS : P4 · 1 source(s).