Veille sécuritéCMS & e-commerce
P4Moyenne
CVE-2026-103382 concerne Casso Flow pour WordPress avant la version 4.2.0 : sur une installation par défaut, le jeton de vérification des notifications de virement est vide. Un attaquant non authentifié peut ainsi falsifier une notification et marquer une commande WooCommerce en attente comme payée, quel que soit son mode de paiement.
WooCommerceWordPress
IdentifiantCVE-2026-103382
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif4.2.0
Source : NVD — CVE-2026-103382
Analyse technique
Les notifications de paiement entrantes ne sont pas correctement authentifiées lorsque le jeton est vide sur une installation par défaut.
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 2026-10-28T06:16:32.020Z, dans la période demandée; l’horodatage de mise à jour est également dans cette période.
ImpactDes commandes WooCommerce peuvent être marquées payées sans paiement authentique correspondant.
Versions affectéesCasso Flow pour WordPress avant la version 4.2.0
Version corrigée4.2.0
ContournementConfigurer un jeton de vérification non vide.
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS5.3
EPSS0,15% · percentile 4,4%
Publication2026-10-28T06:16:32.020Z
Mise à jour2026-10-28T18:17:02.270Z
Action recommandée
Mettre à jour Casso Flow vers la version 4.2.0 ou ultérieure.
Sources
Priorisation DFS : P4 · 1 source(s).