Veille sécuritéCMS & e-commerce
P3Élevée
User Registration & Membership ne vérifie pas qu’un coupon appliqué à une formule payante est valide pour cette formule avant de considérer comme payé un ordre entièrement remisé. Un utilisateur non authentifié peut alors obtenir le rôle associé à la formule, potentiellement jusqu’au rôle administrateur si cette formule est configurée ainsi.
WordPress
IdentifiantCVE-2026-109870
GravitéÉlevée
Exploitationnon connue / non déterminée
Correctif5.3.2
Source : NVD — CVE-2026-109870
Analyse technique
La faille porte sur la validation de la relation entre coupon et formule payante lors de la création d’un ordre remisé.
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 2026-11-11 à 06:17:10 UTC, soit le 2026-11-11 à 08:17:10 +02:00. Les mises à jour de fiche du 2026-11-12 sont hors période.
ImpactAccès non autorisé à un rôle associé à une formule payante, pouvant être privilégié selon la configuration.
Versions affectéesVersions antérieures à 5.3.2
Version corrigée5.3.2
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS8.1
EPSS0,19% · percentile 8,4%
Publication2026-11-11T08:17:10+02:00
Action recommandée
Mettre à jour le module vers la version 5.3.2 ou ultérieure.
Sources
Priorisation DFS : P3 · 1 source(s).