Veille sécuritéBackend & données
P4Moyenne
HUSKY – Products Filter for WooCommerce Professional jusqu’à la version 1.4.5 incluse peut exposer des identifiants de base de données MySQL configurés pour son extension Statistics. L’exploitation nécessite que Statistics soit activée, que les identifiants externes soient enregistrés et que Turbo Mode soit activé.
MySQLWooCommerceWordPress
IdentifiantCVE-2026-107646
GravitéMoyenne
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-107646
Analyse technique
Les identifiants, dont le mot de passe en clair, peuvent être extraits d’un objet script woof_tm_data intégré dans une page publique de filtre.
Impact, versions et correctif
Événement datéLa fiche NVD a été publiée pendant la période demandée, le 2026-10-16.
ImpactUn attaquant non authentifié peut récupérer l’hôte, le nom de base, le nom d’utilisateur et le mot de passe de la base externe.
Versions affectéesToutes les versions jusqu’à 1.4.5 incluse
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS5.3
EPSS0,35% · percentile 26,8%
Publication2026-10-16T07:17:08.940Z
Mise à jour2026-10-16T15:17:05.130Z
Action recommandée
Mettre à jour dès qu’un correctif est disponible ; désactiver Statistics ou Turbo Mode et remplacer les identifiants exposés si la configuration concernée est utilisée.
Sources
Priorisation DFS : P4 · 1 source(s).