Veille sécuritéCMS & e-commerce
P4Moyenne
CryptoCloud de la version 3.0.0 à 3.0.1 ne vérifie pas l’authenticité des notifications de paiement reçues par son callback lorsque le secret webhook reste vide par défaut. Un attaquant non authentifié peut falsifier le statut d’une commande et la marquer payée ou échouée sans paiement réel.
WordPress
IdentifiantCVE-2026-103327
GravitéMoyenne
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-103327
Analyse technique
Le contrôle d’intégrité est ignoré lorsque le secret webhook est laissé à sa valeur par défaut vide.
Impact, versions et correctif
Événement datéPublication de la fiche NVD le 2026-11-03, dans la période demandée.
ImpactDes commandes peuvent être marquées payées ou échouées sans paiement légitime.
Versions affectéesCryptoCloud 3.0.0 à 3.0.1
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS5.3
EPSS0,11% · percentile 1,5%
Publication2026-11-03T09:17:08.647Z
Mise à jour2026-11-04T14:17:20.670Z
Action recommandée
Mettre à jour le plugin vers une version corrigée et configurer un secret webhook robuste après vérification des instructions du fournisseur.
Sources
Priorisation DFS : P4 · 1 source(s).