Contournement d’un correctif XSS dans PDF Invoices & Packing Slips for WooCommerce

Veille sécuritéCMS & e-commerce

P3Élevée

PDF Invoices & Packing Slips for WooCommerce jusqu’à la version 5.16.4 présente une XSS stockée via certaines données de facturation et les notes client, contournant un correctif antérieur par encodage des entités. Un attaquant non authentifié peut injecter du contenu exécuté lorsque la page concernée est consultée ; la fiche NVD a été publiée pendant la période.

IdentifiantCVE-2026-107750

GravitéÉlevée

Exploitationnon connue / non déterminée

CorrectifNon précisé dans les sources

Source : NVD — CVE-2026-107750

Analyse technique

Le filtrage `wp_kses()` ajouté en 5.16.2 bloque les balises brutes mais laisse passer des charges utiles encodées en entités, ensuite décodées et réinterprétées.

Impact, versions et correctif

Événement datéPublication de la fiche NVD le 2026-10-31, dans la période demandée. La mise à jour NVD du 2026-11-02 est postérieure et n’est pas retenue comme événement.

ImpactExécution de scripts arbitraires dans le navigateur lors de l’affichage d’une page affectée.

Versions affectéesToutes les versions jusqu’à 5.16.4 inclusivement

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS7.2

EPSS0,26% · percentile 17,6%

Publication2026-10-31T07:16:33.920Z

Action recommandée

Mettre à jour le plugin dès qu’une version corrigée est disponible ; examiner les données de facturation et notes client susceptibles de contenir du contenu injecté.

Sources

NVD — CVE-2026-107750

Priorisation DFS : P3 · 1 source(s).