Veille sécuritéCMS & e-commerce
P4Moyenne
CVE-2026-109414 est une injection SQL aveugle dans Vitepos, affectant les versions jusqu’à 3.6.1 incluse. La branche d’opérateur bt (BETWEEN) n’était pas couverte par le correctif antérieur mentionné dans la fiche ; aucune version corrigée n’est indiquée.
WooCommerceWordPress
IdentifiantCVE-2026-109414
GravitéMoyenne
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-109414
Analyse technique
Le paramètre src_by[].val.start / src_by[].val.end avec l’opérateur bt est insuffisamment échappé et la requête SQL n’est pas suffisamment préparée. L’attaque requiert un compte de niveau vendeur ou supérieur.
Impact, versions et correctif
Événement datéLa fiche NVD a été publiée le 2026-10-16 ; cette publication est l’événement retenu dans la période.
ImpactUn attaquant authentifié au niveau vendeur ou supérieur peut ajouter des requêtes SQL et extraire des données sensibles.
Versions affectéesVitepos jusqu’à 3.6.1 incluse
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS6.5
EPSS0,27% · percentile 18,6%
Publication2026-10-16T06:17:07.450Z
Mise à jour2026-10-16T15:17:07.450Z
Action recommandée
Mettre à jour Vitepos lorsqu’un correctif couvrant l’opérateur bt est disponible.
Sources
Priorisation DFS : P4 · 1 source(s).