Customer Email Verification for WooCommerce présente une faille de contournement de vérification pouvant permettre l’usurpation d’un compte non vérifié dans les versions jusqu’à 3.3.0 incluse. Le scénario décrit exige notamment le réglage non standard « hashids » et d’autres conditions; mettre à jour vers une version corrigée et vérifier la configuration du plugin.
Source : NVD — CVE-2026-104745
Analyse technique
Avec l’encodage « hashids », le code d’activation dispose d’un espace de valeurs très réduit et le gestionnaire de vérification accepte un paramètre GET sans nonce ni limitation de débit. L’exploitation dépend aussi de la récupération ou du brute-forçage du sel Hashids et d’un compte cible dont l’adresse électronique n’est pas vérifiée.
Impact, versions et correctif
Action recommandée
Mettre à jour le plugin vers une version corrigée; si la mise à jour n’est pas possible, désactiver le réglage « hashids » et examiner les comptes dont la vérification est en attente.
Sources
Priorisation DFS : P3 · 1 source(s).