Veille sécuritéCMS & e-commerce
P4Moyenne
FluentCart, avant la version 2.2.0, ne vérifie pas que l’adresse client choisie lors du paiement appartient à la personne qui passe la commande. Un attaquant non authentifié peut ainsi exposer des adresses postales, numéros de téléphone et coordonnées d’entreprise d’autres clients.
WordPress
IdentifiantCVE-2026-100142
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif2.2.0
Source : NVD — CVE-2026-100142
Analyse technique
L’adresse enregistrée d’un autre client peut être associée à une commande passée par l’attaquant, puis relue dans les informations de commande. Score CVSS indiqué : 5.3.
Impact, versions et correctif
Événement datéNouvelle fiche CVE publiée le 2026-10-22T06:17:12.237Z, dans la période demandée; la modification ultérieure de la fiche le même jour n’est pas traitée comme un événement distinct.
ImpactDivulgation non autorisée de données personnelles de clients.
Versions affectéesFluentCart avant 2.2.0
Version corrigée2.2.0
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS5.3
EPSS0,15% · percentile 3,6%
Publication2026-10-22T06:17:12.237Z
Mise à jour2026-10-22T15:16:14.027Z
Action recommandée
Mettre à jour FluentCart vers une version corrigée; la version corrective n’est pas précisée dans les éléments fournis.
Sources
Priorisation DFS : P4 · 1 source(s).