Veille sécuritéCMS & e-commerce
P4Faible
Razorpay for WooCommerce avant la version 4.8.9 expose une route REST sans contrôle d’autorisation et déduit l’identité de l’utilisateur d’un paramètre fourni dans une requête non authentifiée. Sous la condition qu’un coupon spécifique soit actif, un attaquant peut faire exécuter cette requête comme un autre compte pendant son traitement ; mettre à jour vers la version 4.8.9 ou ultérieure.
WooCommerceWordPress
IdentifiantCVE-2026-104338
GravitéFaible
Exploitationnon connue / non déterminée
Correctif4.8.9
Source : NVD — CVE-2026-104338
Analyse technique
La vulnérabilité concerne une route REST non autorisée et dépend de l’activation d’un coupon spécifique.
Impact, versions et correctif
Événement datéNouvelle fiche CVE publiée pendant la période : 2026-11-08T06:17:04.000Z.
ImpactUne requête peut être exécutée sous l’identité d’un compte arbitraire pendant son traitement.
Versions affectéesVersions antérieures à 4.8.9
Version corrigée4.8.9
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS3.7
EPSS0,14% · percentile 3,1%
Publication2026-11-08T06:17:04.000Z
Mise à jour2026-11-08T19:17:32.070Z
Action recommandée
Mettre à jour Razorpay for WooCommerce vers la version 4.8.9 ou ultérieure.
Sources
Priorisation DFS : P4 · 1 source(s).