Veille sécuritéCMS & e-commerce
P4Moyenne
Le plugin UniPAY Payment Gateway for WooCommerce ne vérifie pas correctement l’authenticité des notifications de paiement lorsque le secret marchand est vide par défaut. Un attaquant non authentifié peut alors falsifier une notification et faire marquer des commandes comme payées ; aucune version corrigée n’est précisée dans les données fournies.
WooCommerceWordPress
IdentifiantCVE-2026-103331
GravitéMoyenne
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-103331
Analyse technique
La signature des notifications est vérifiée avec un secret marchand vide par défaut.
Impact, versions et correctif
Événement datéRetenue comme nouvelle vulnérabilité : la date de publication indiquée par NVD, 2026-10-28T06:16:31.570Z, correspond au 2026-10-28T08:16:31.570+02:00, dans la période demandée.
ImpactDes commandes WooCommerce peuvent être faussement signalées comme payées.
Versions affectéesVersions jusqu’à 2.3 inclus
ContournementConfigurer un secret marchand non vide et robuste.
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS5.3
EPSS0,15% · percentile 4,4%
Publication2026-10-28T08:16:31.570+02:00
Mise à jour2026-10-28T20:17:01.707+02:00
Action recommandée
Vérifier la disponibilité d’une version corrigée et la déployer dès sa publication ; configurer un secret marchand robuste et non vide si le plugin le permet.
Sources
Priorisation DFS : P4 · 1 source(s).