CVE-2026-109991 — divulgation de données de commandes dans FunnelKit Payment Gateway for Stripe WooCommerce

Veille sécuritéCMS & e-commerce

P3Élevée

Une faille dans le plugin FunnelKit Payment Gateway for Stripe WooCommerce permet à un attaquant non authentifié de consulter les données personnelles de facturation associées à des commandes. Les versions jusqu’à 1.15.0.2 inclus sont concernées ; aucune version corrigée ni mesure de contournement n’est précisée dans les informations fournies.

IdentifiantCVE-2026-109991

GravitéÉlevée

Exploitationnon connue / non déterminée

CorrectifNon précisé dans les sources

Source : NVD — CVE-2026-109991

Analyse technique

Une validation manquante du paramètre order-pay permet d’énumérer des identifiants de commande et d’obtenir le nom, l’adresse e-mail, le téléphone et l’adresse postale des clients.

Impact, versions et correctif

Événement datéLa fiche NVD a été publiée le 2026-11-07T12:17:42.267Z, soit le 2026-11-07T14:17:42.267+02:00, dans la période demandée.

ImpactDivulgation non autorisée de données personnelles de facturation associées aux commandes.

Versions affectéesToutes les versions jusqu’à 1.15.0.2 inclus

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS7.5

Publication2026-11-07T14:17:42.267+02:00

Mise à jour2026-11-07T21:17:17.740+02:00

Détection / vérification

Vérifier si FunnelKit Payment Gateway for Stripe WooCommerce est installé en version 1.15.0.2 ou antérieure.

Action recommandée

Mettre à jour vers une version corrigée dès qu’elle est disponible ; en attendant, limiter l’exposition du plugin et surveiller les accès aux pages de paiement.

Sources

NVD — CVE-2026-109991

Priorisation DFS : P3 · 1 source(s).