Veille sécuritéCMS & e-commerce
P4Non déterminée
Dokan avant la version 5.3.3 utilise l’adresse fournie par un visiteur non authentifié comme expéditeur d’un message transmis aux vendeurs. Cela peut permettre l’usurpation d’une adresse du domaine du site ; aucune mesure de contournement n’est précisée.
WooCommerceWordPress
IdentifiantCVE-2026-107774
GravitéNon déterminée
Exploitationnon connue / non déterminée
Correctif5.3.3
Source : NVD — CVE-2026-107774
Analyse technique
Le formulaire de contact de la boutique place l’adresse soumise dans l’en-tête From au lieu d’utiliser une adresse contrôlée par le site et une réponse Reply-To. Des messages peuvent ainsi paraître provenir d’une adresse du domaine du site.
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 2026-11-05 à 06:17:07.107Z, soit 08:17:07.107+02:00, dans la période demandée. L’horodatage de mise à jour NVD, à lui seul, n’est pas retenu comme événement ; l’inclusion repose sur la publication indiquée.
ImpactEnvoi de messages aux vendeurs avec une adresse d’expéditeur usurpée, susceptible de faciliter des tentatives de tromperie.
Versions affectéesVersions antérieures à 5.3.3
Version corrigée5.3.3
Exploitation activenon connue / non déterminée
PoC publicinconnu
EPSS0,14% · percentile 3,1%
Publication2026-11-05T08:17:07.107+02:00
Mise à jour2026-11-05T17:06:27.350+02:00
Action recommandée
Mettre à jour Dokan vers la version 5.3.3 ou ultérieure et vérifier la configuration des messages du formulaire de contact.
Sources
Priorisation DFS : P4 · 1 source(s).