Veille sécuritéCMS & e-commerce
P4Moyenne
Un utilisateur authentifié ayant le rôle Abonné ou Client peut activer gratuitement une adhésion payante de vendeur. Cette faille peut lui conférer le rôle de vendeur sur la place de marché sans paiement validé.
WordPress
IdentifiantCVE-2026-12967
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif2.12.1
Source : NVD — CVE-2026-12967
Analyse technique
Le plugin ne vérifie pas qu’un paiement a été effectué avant de finaliser l’adhésion payante.
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 2026-11-06T06:16:42.560Z, dans la période demandée; la vulnérabilité est retenue comme nouvelle, et non sur la seule base de son horodatage de mise à jour ultérieur.
ImpactUn utilisateur authentifié peut obtenir gratuitement le rôle de vendeur en activant une adhésion payante sans paiement.
Versions affectéesWCFM Membership avant 2.12.1
Version corrigée2.12.1
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS6.5
EPSS0,13% · percentile 2,8%
Publication2026-11-06T06:16:42.560Z
Mise à jour2026-11-06T20:09:13.780Z
Action recommandée
Mettre à jour WCFM Membership vers la version 2.12.1 ou ultérieure.
Sources
Priorisation DFS : P4 · 1 source(s).