Veille sécuritéCMS & e-commerce
P3Élevée
ShopMagic présente une inclusion de fichier local pouvant permettre à un attaquant non authentifié d’inclure et d’exécuter des fichiers PHP sur le serveur, sous certaines conditions. Toutes les versions jusqu’à 4.9.0 inclus sont concernées ; le candidat fourni ne précise pas de version corrective.
WordPress
IdentifiantCVE-2026-103367
GravitéÉlevée
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-103367
Analyse technique
La vulnérabilité passe par le paramètre billing_address.first_name et nécessite une recette publiée qui traite le placeholder {{ customer.first_name }} ; le candidat indique qu’une recette intégrée répond à cette condition.
Impact, versions et correctif
Événement datéLa fiche CVE a été publiée par NVD le 2026-10-14T08:17:02.553Z, dans la période demandée.
ImpactSelon les fichiers accessibles et la configuration, l’attaque peut exposer des données sensibles ou permettre l’exécution de code sur le serveur.
Versions affectéesToutes les versions jusqu’à 4.9.0 inclus
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS8.1
EPSS1,01% · percentile 62,3%
Publication2026-10-14T08:17:02.553Z
Mise à jour2026-10-14T16:17:30.350Z
Action recommandée
Mettre à jour ShopMagic dès qu’une version corrective est disponible ; examiner les recettes publiées qui utilisent le placeholder concerné.
Sources
Priorisation DFS : P3 · 1 source(s).