FluentCart : injection SQL via les variantes de produits

Veille sécuritéCMS & e-commerce

P4Moyenne

FluentCart pour WordPress présente une injection SQL dans toutes les versions jusqu’à 1.7.0 incluse. Un utilisateur authentifié disposant d’un accès personnalisé suffisant peut exploiter le paramètre associé aux variantes de produits pour extraire des informations sensibles de la base de données; mettre à jour vers une version corrigée.

IdentifiantCVE-2026-103518

GravitéMoyenne

Exploitationnon connue / non déterminée

CorrectifNon précisé dans les sources

Source : NVD — CVE-2026-103518

Analyse technique

L’entrée fournie dans `products[*].variants[*]` n’est pas suffisamment échappée ni préparée dans la requête SQL. Sur FluentCart Pro, le rôle Manager shop disposant de la permission products/edit peut être concerné sans privilèges d’administrateur.

Impact, versions et correctif

Événement datéNouvelle vulnérabilité publiée le 2026-10-16; la date de publication, et non la mise à jour NVD, est retenue dans la période demandée.

ImpactUn utilisateur authentifié ayant les permissions requises peut accéder à des informations sensibles stockées dans la base de données.

Versions affectéesFluentCart jusqu’à 1.7.0 incluse

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS4.9

EPSS0,38% · percentile 30,1%

Publication2026-10-16T04:18:21.027Z

Mise à jour2026-10-16T15:17:02.147Z

Action recommandée

Mettre à jour FluentCart vers une version corrigée; limiter les permissions d’édition des produits aux comptes de confiance.

Sources

NVD — CVE-2026-103518

Priorisation DFS : P4 · 1 source(s).