Veille sécuritéCMS & e-commerce
P4Non déterminée
IVPAY payments accepte une clé API vide et ne nettoie pas une valeur de rappel de paiement utilisée dans une requête SQL, ce qui peut permettre la lecture non authentifiée de données arbitraires de la base. Les versions jusqu’à 1.0.8 sont concernées; aucun correctif n’est précisé dans la source fournie.
WordPress
IdentifiantCVE-2026-100144
GravitéNon déterminée
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-100144
Analyse technique
La clé API vide, valeur par défaut du plugin, est acceptée comme authentification et le paramètre de rappel est injecté dans une instruction SQL sans assainissement adéquat.
Impact, versions et correctif
Événement datéRetenu comme nouvelle entrée publiée dans NVD le 2026-11-05, date comprise dans la période demandée.
ImpactUn attaquant non authentifié peut lire des données arbitraires de la base.
Versions affectéesJusqu’à 1.0.8 inclusivement
Exploitation activenon connue / non déterminée
PoC publicinconnu
EPSS0,21% · percentile 11,0%
Publication2026-11-05T06:17:06.640Z
Mise à jour2026-11-05T15:06:27.350Z
Action recommandée
Mettre à jour IVPAY payments dès qu’un correctif est disponible; la source fournie ne précise pas de version corrigée.
Sources
Priorisation DFS : P4 · 1 source(s).