Veille sécuritéCMS & e-commerce
P4Moyenne
Dans l’extension ERP: Complete HR, Accounting & CRM Suite Built for WooCommerce, une action AJAX sans contrôle de capacité expose l’historique des valeurs de modifications de fiches à tout utilisateur authentifié. Les versions antérieures à 1.17.11 sont concernées ; mettez à jour vers la version 1.17.11 ou une version ultérieure.
WooCommerceWordPress
IdentifiantCVE-2026-105191
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif1.17.11
Source : NVD — CVE-2026-105191
Analyse technique
L’action AJAX renvoie les valeurs avant et après modification d’un enregistrement sans vérifier les capacités de l’utilisateur ; l’énumération des identifiants permet d’accéder à des données d’autres utilisateurs.
Impact, versions et correctif
Événement datéNouvelle fiche publiée par le NVD le 2026-11-04T08:16:57.320+02:00, dans la période demandée.
ImpactTout utilisateur authentifié, y compris un abonné, peut consulter des données RH, CRM et comptables sensibles d’autres utilisateurs.
Versions affectéesVersions antérieures à 1.17.11
Version corrigée1.17.11
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS4.3
EPSS0,19% · percentile 8,8%
Publication2026-11-04T08:16:57.320+02:00
Mise à jour2026-11-04T17:17:23.880+02:00
Action recommandée
Mettre à jour l’extension vers la version 1.17.11 ou une version ultérieure.
Sources
Priorisation DFS : P4 · 1 source(s).