Veille sécuritéCMS & e-commerce
P4Faible
TiendaCrypto para WooCommerce jusqu’à la version 1.2.1 ne vérifie pas correctement la signature de son webhook de paiement, car la clé utilisée est toujours vide. Sous la condition technique décrite dans l’avis, un attaquant non authentifié peut falsifier des notifications et faire marquer des commandes comme payées.
WooCommerceWordPress
IdentifiantCVE-2026-103325
GravitéFaible
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-103325
Analyse technique
La vérification de signature utilise une clé vide; l’avis précise une condition liée à la conservation de la casse des en-têtes HTTP.
Impact, versions et correctif
Événement datéLa fiche CVE a été publiée le 2026-10-27T07:16:31.453Z, dans la période demandée. La mise à jour NVD du 2026-10-28T18:17:01.480Z est postérieure à la période et n’est pas retenue comme événement.
ImpactFalsification possible de notifications de paiement et marquage indu de commandes.
Versions affectéesTiendaCrypto para WooCommerce jusqu’à 1.2.1 inclus
ContournementVérifier le traitement de la casse des en-têtes HTTP sur le serveur et contrôler les commandes marquées payées. La source consultée ne permet pas d’établir une version corrigée.
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS3.7 · CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:L/A:N
EPSS0,11% · percentile 1,4%
Publication2026-10-27T07:16:31.453Z
Mise à jour2026-10-28T18:17:01.480Z
Action recommandée
Appliquer une version corrigée dès sa disponibilité et vérifier le traitement des webhooks.
Sources
Priorisation DFS : P4 · 1 source(s).