Veille sécuritéCMS & e-commerce
P4Moyenne
Un attaquant non authentifié peut faire marquer des commandes comme payées sans paiement correspondant au montant dû. Le plugin ne vérifie pas que la notification PayPal provient du compte du marchand ni que son montant correspond à celui de la commande.
WordPress
IdentifiantCVE-2026-121633
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif3.6.0
Source : NVD — CVE-2026-121633
Analyse technique
La validation des notifications de paiement PayPal ne contrôle ni leur destinataire marchand ni leur montant avant de marquer une commande comme payée.
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 2026-11-06T08:17:19.967Z, dans la période demandée; la vulnérabilité est retenue comme nouvelle, et non sur la seule base de son horodatage de mise à jour ultérieur.
ImpactDes commandes arbitraires peuvent être marquées comme payées après une notification PayPal non vérifiée.
Versions affectéesOrder Tracking avant 3.6.0
Version corrigée3.6.0
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS5.3
EPSS0,11% · percentile 1,5%
Publication2026-11-06T08:17:19.967Z
Mise à jour2026-11-06T20:09:13.780Z
Action recommandée
Mettre à jour Order Tracking vers la version 3.6.0 ou ultérieure.
Sources
Priorisation DFS : P4 · 1 source(s).