Veille sécuritéCMS & e-commerce
P3Élevée
Advanced Shipment Tracking for WooCommerce comporte une injection SQL dans le paramètre « tracking_provider » de son point de terminaison REST de suivi des expéditions. Les versions jusqu’à 3.9 incluse sont concernées et un attaquant authentifié disposant au moins de droits de Shop Manager peut exploiter le défaut pour extraire des données de la base.
WooCommerceWordPress
IdentifiantCVE-2026-120558
GravitéÉlevée
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-120558
Analyse technique
La valeur fournie est concaténée dans le format de la requête SQL au lieu d’être liée comme paramètre dans get_provider_slug_from_name().
Impact, versions et correctif
Événement datéNouvelle vulnérabilité publiée par NVD dans la période, le 2026-11-03; la mise à jour de la fiche intervient également dans cette période.
ImpactUn attaquant autorisé peut extraire des informations sensibles de la base de données.
Versions affectéesJusqu’à la version 3.9 incluse.
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS7.2
EPSS0,35% · percentile 28,3%
Publication2026-11-03T05:18:33.030Z
Mise à jour2026-11-03T19:17:59.010Z
Action recommandée
Mettre à jour le plugin dès qu’un correctif est disponible et limiter les comptes disposant de privilèges de gestion des commandes.
Sources
Priorisation DFS : P3 · 1 source(s).