Veille sécuritéCMS & e-commerce
P3Élevée
La fiche NVD publiée le 11 novembre 2026 décrit un défaut d’autorisation dans Security For WooCommerce permettant à des visiteurs non authentifiés de demander le code ou le secret 2FA courant de n’importe quel utilisateur. Selon la fiche, cela peut contourner le second facteur lorsque la bibliothèque OTP du plugin est disponible ; la version concernée va jusqu’à 1.0.16 incluse, sans correctif précisé dans les données fournies.
WooCommerceWordPress
IdentifiantCVE-2026-123697
GravitéÉlevée
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-123697
Analyse technique
Les demandes de code ou de secret 2FA ne vérifient pas les droits du demandeur.
Impact, versions et correctif
Événement datéPublication de la fiche NVD le 11 novembre 2026, dans la période demandée. La mise à jour NVD du 12 novembre est postérieure à la période et n’est pas retenue comme événement.
ImpactDivulgation des codes ou secrets 2FA et contournement possible du second facteur.
Versions affectéesSecurity For WooCommerce jusqu’à 1.0.16 incluse
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS7.5
EPSS0,18% · percentile 7,3%
Publication2026-11-11T06:17:18.730Z
Mise à jour2026-11-12T18:49:18.840Z
Action recommandée
Mettre à jour Security For WooCommerce dès qu’un correctif est disponible ; aucun numéro de version corrigée n’est indiqué dans les données fournies.
Sources
Priorisation DFS : P3 · 1 source(s).