Veille sécuritéCMS & e-commerce
P4Moyenne
La prise en charge d’une commande invitée ne vérifie pas que l’utilisateur qui la revendique en est l’acheteur d’origine. Un utilisateur authentifié peut ainsi s’approprier une commande non revendiquée et accéder aux informations de facturation et aux fichiers achetés ; le correctif est indiqué en version 7.3.1.
WordPress
IdentifiantCVE-2026-118407
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif7.3.1
Source : NVD — CVE-2026-118407
Analyse technique
La revendication d’une commande invitée peut être effectuée avec son seul identifiant, sans vérification de l’identité de l’acheteur.
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 2026-11-04, pendant la période demandée ; l’horodatage de publication est retenu.
ImpactUn utilisateur authentifié peut accéder aux données de facturation et aux fichiers associés à une commande invitée.
Versions affectéesPremium Packages avant 7.3.1
Version corrigée7.3.1
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS5.4
EPSS0,13% · percentile 2,8%
Publication2026-11-04T06:17:02.950Z
Mise à jour2026-11-04T15:17:38.380Z
Action recommandée
Mettre Premium Packages à jour vers la version 7.3.1 ou ultérieure.
Sources
Priorisation DFS : P4 · 1 source(s).