Veille sécuritéCMS & e-commerce
P4Moyenne
Product Addons for WooCommerce – Product Options with Custom Fields jusqu’à la version 3.1.8 incluse permet à un utilisateur authentifié ayant au moins le rôle Shop Manager d’injecter du JavaScript persistant. Le code s’exécute lorsqu’un utilisateur consulte une page affectée ; la source ne fournit pas de version corrigée.
WooCommerceWordPress
IdentifiantCVE-2026-109988
GravitéMoyenne
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-109988
Analyse technique
XSS persistante via le paramètre fields[section][fields][row][col][type], en raison d’une validation et d’un échappement insuffisants.
Impact, versions et correctif
Événement datéPublication NVD le 2026-10-28T07:16:45.747Z, dans la période demandée ; retenue comme divulgation d’une vulnérabilité nouvelle. La mise à jour ultérieure de la fiche, le 2026-10-29, est hors période et n’est pas traitée comme un événement de cette période.
ImpactUn attaquant authentifié disposant d’un rôle Shop Manager ou supérieur peut injecter des scripts exécutés dans le navigateur des visiteurs de pages affectées.
Versions affectéesProduct Addons for WooCommerce – Product Options with Custom Fields jusqu’à 3.1.8 inclus
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS4.4
EPSS0,21% · percentile 10,9%
Publication2026-10-28T07:16:45.747Z
Mise à jour2026-10-29T02:16:47.803Z
Action recommandée
Mettre à jour vers une version corrigée dès qu’elle est disponible ; limiter les privilèges des comptes capables de modifier les options produit.
Sources
Priorisation DFS : P4 · 1 source(s).