Veille sécuritéCMS & e-commerce
P4Moyenne
Booking Package génère des jetons d’annulation prévisibles avant la version 1.7.31, à partir de valeurs exposées publiquement. Un attaquant non authentifié peut reconstruire le jeton d’une réservation, en consulter les données personnelles et, si l’option est activée, l’annuler.
WordPress
IdentifiantCVE-2026-105996
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif1.7.31
Source : NVD — CVE-2026-105996
Analyse technique
Jetons prévisibles dérivés de valeurs accessibles publiquement; complexité d’attaque élevée selon le vecteur disponible.
Impact, versions et correctif
Événement datéLa fiche CVE indique une publication le 2026-10-21 à 06:00:18.712Z, comprise dans la période. Le vecteur CVSS est celui affiché dans l’enregistrement CVE consulté.
ImpactDivulgation de données personnelles de réservation et annulation possible lorsque cette fonction est activée.
Versions affectéesVersions antérieures à 1.7.31
Version corrigée1.7.31
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS4.8 · CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:L/A:N
EPSS0,11% · percentile 1,1%
Publication2026-10-21T06:16:46.260Z
Mise à jour2026-10-21T18:37:38.700Z
Action recommandée
Mettre à jour Booking Package vers la version 1.7.31 ou ultérieure.
Sources
Priorisation DFS : P4 · 1 source(s).