Veille sécuritéCMS & e-commerce
P3Élevée
Le plugin PDF Invoices & Packing Slips for WooCommerce ne neutralise pas correctement certains champs de commande avant leur insertion dans les factures et bordereaux. Une commande invitée malveillante peut provoquer l’exécution d’un script lorsqu’un administrateur consulte le document ; la version corrigée n’est pas confirmée par les informations disponibles dans la période.
WooCommerceWordPress
IdentifiantCVE-2026-111578
GravitéÉlevée
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-111578
Analyse technique
XSS stockée via des champs d’adresse ou la note de commande d’un invité, affichés dans les documents générés.
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 2026-10-30T22:16:53.880Z, soit le 2026-10-31 à 00:16:53 en +02:00, dans la période. Son horodatage de mise à jour est postérieur à la borne ; aucune information provenant de cette mise à jour n’est retenue.
ImpactExécution de script dans le contexte d’un administrateur consultant une facture ou un bordereau affecté.
Versions affectées5.16.2 à avant 5.16.5
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS7.5
EPSS0,30% · percentile 22,5%
Publication2026-10-31T00:16:53+02:00
Action recommandée
Mettre à jour au moins vers la version 5.16.5 et vérifier les documents générés à partir de commandes invitées.
Sources
Priorisation DFS : P3 · 1 source(s).