Veille sécuritéCMS & e-commerce
P4Moyenne
CVE-2026-121516 permet à des visiteurs non authentifiés de stocker un script dans QODE Wishlist for WooCommerce, via un paramètre lié aux articles des visiteurs. L’exploitation dépend d’une interaction de la victime avec une URL de partage et d’une action d’administrateur ; aucun correctif n’est précisé dans les données fournies.
WooCommerceWordPress
IdentifiantCVE-2026-121516
GravitéMoyenne
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-121516
Analyse technique
Le nonce REST nécessaire est accessible publiquement sur la page wishlist et la clé de transient est contrôlée par l’attaquant ; le déclenchement requiert ensuite une interaction.
Impact, versions et correctif
Événement datéFiche NVD publiée le 2026-11-07T04:17:18.640Z, dans la période demandée ; la date de publication est retenue comme événement.
ImpactExécution de scripts à la suite d’une interaction avec le contenu de souhaits compromis.
Versions affectéesQODE Wishlist for WooCommerce jusqu’à la version 1.2.9 incluse
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS6.1
EPSS0,28% · percentile 20,6%
Publication2026-11-07T04:17:18.640Z
Mise à jour2026-11-07T18:17:19.270Z
Action recommandée
Mettre à jour dès qu’un correctif est disponible et examiner les pages de souhaits ainsi que les contenus partagés suspects.
Sources
Priorisation DFS : P4 · 1 source(s).