Veille sécuritéCMS & e-commerce
P3Élevée
Le plugin FluentCart expose des adresses de facturation et de livraison de clients par un contrôle d’accès insuffisant. Toutes les versions jusqu’à 1.7.0 inclus sont concernées ; l’accès non authentifié permet de récupérer des données personnelles en énumérant des identifiants de commande et d’adresse.
WordPress
IdentifiantCVE-2026-103525
GravitéÉlevée
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-103525
Analyse technique
Le point d’entrée AJAX ne vérifie ni l’authentification ni la propriété des adresses ; le contrôle d’égalité des identifiants peut être contourné car les deux identifiants sont contrôlés par le demandeur.
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 2026-10-16 ; cette publication de la vulnérabilité, et non sa seule mise à jour ultérieure, est retenue.
ImpactDivulgation de données personnelles de facturation et de livraison, notamment adresses, téléphone et identifiants fiscaux.
Versions affectéesToutes les versions jusqu’à 1.7.0 inclus
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS7.5
EPSS0,38% · percentile 29,8%
Publication2026-10-16T05:17:28.210Z
Mise à jour2026-10-16T15:17:02.273Z
Action recommandée
Mettre à jour vers une version corrigée dès qu’elle est disponible ; vérifier les accès aux données clients et surveiller les requêtes inhabituelles.
Sources
Priorisation DFS : P3 · 1 source(s).