Veille sécuritéCMS & e-commerce
P4Moyenne
Le plugin Pixel Tag Manager for WooCommerce avant 2.2.3 permet à un utilisateur ayant un accès au tableau de bord, jusqu’au rôle Contributor, de modifier la configuration de suivi par une action AJAX insuffisamment protégée. La configuration peut alors provoquer l’exécution de JavaScript dans les navigateurs des visiteurs; mettre à niveau le plugin vers 2.2.3 ou ultérieur.
JavaScriptWooCommerceWordPress
IdentifiantCVE-2026-105199
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif2.2.3
Source : NVD — CVE-2026-105199
Analyse technique
L’avis décrit l’absence de vérification de capacité sur une action AJAX et l’exposition du nonce aux utilisateurs pouvant accéder au tableau de bord.
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 2026-10-24 à 06:16:34Z, soit le 2026-10-24 à 08:16:34 +02:00, dans la période retenue.
ImpactExécution de JavaScript dans les navigateurs des visiteurs du site, y compris les administrateurs.
Versions affectéesVersions antérieures à 2.2.3
Version corrigée2.2.3
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS6.8 · CVSS:3.1/AV:N/AC:L/PR:H/UI:R/S:U/C:H/I:H/A:H
EPSS0,21% · percentile 10,3%
Publication2026-10-24T08:16:34+02:00
Mise à jour2026-10-26T13:50:14.083Z
Action recommandée
Mettre à niveau vers la version 2.2.3 ou ultérieure et examiner la configuration de suivi pour détecter des modifications inattendues.
Sources
Priorisation DFS : P4 · 1 source(s).