Veille sécuritéCMS & e-commerce
P4Moyenne
Des attaquants non authentifiés peuvent faire marquer des inscriptions à des événements comme payées sans effectuer de paiement. Le plugin ne vérifie pas l’authenticité des notifications de paiement PayPal avant de valider les inscriptions.
WordPress
IdentifiantCVE-2026-121636
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif9.19
Source : NVD — CVE-2026-121636
Analyse technique
Les notifications PayPal ne sont pas authentifiées avant que l’inscription soit marquée comme payée.
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 2026-11-06T08:17:20.103Z, dans la période demandée; la vulnérabilité est retenue comme nouvelle, et non sur la seule base de son horodatage de mise à jour ultérieur.
ImpactUn attaquant non authentifié peut obtenir la validation d’inscriptions à des événements sans effectuer de paiement.
Versions affectéesQuick Event Manager avant 9.19
Version corrigée9.19
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS5.3
EPSS0,11% · percentile 1,5%
Publication2026-11-06T08:17:20.103Z
Mise à jour2026-11-06T20:09:13.780Z
Action recommandée
Mettre à jour Quick Event Manager vers la version 9.19 ou ultérieure.
Sources
Priorisation DFS : P4 · 1 source(s).