Veille sécuritéCMS & e-commerce
P4Moyenne
WebToffee Product Import Export for WooCommerce présente une vulnérabilité SSRF dans la fonction de téléchargement de fichiers distants. Les versions antérieures à 2.6.8 permettent à un utilisateur disposant du rôle shop_manager de faire suivre une redirection vers une adresse interne et de récupérer la réponse comme données d’import.
WooCommerce
IdentifiantCVE-2026-118989
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif2.6.8
Source : NVD — CVE-2026-118989
Analyse technique
Une URL CSV soumise peut répondre par une redirection HTTP 302 vers une ressource interne, que le serveur récupère ensuite.
Impact, versions et correctif
Événement datéNouvelle fiche NVD publiée le 2026-10-29 ; l’événement retenu est la publication de la vulnérabilité, et non une simple modification administrative.
ImpactUn responsable de boutique peut provoquer des requêtes du serveur vers des services internes et en obtenir les réponses.
Versions affectéesVersions antérieures à 2.6.8
Version corrigée2.6.8
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS5.1
Publication2026-10-29T11:17:32.447Z
Mise à jour2026-10-29T16:21:34.310Z
Action recommandée
Mettre à jour vers la version 2.6.8 ou ultérieure.
Sources
Priorisation DFS : P4 · 1 source(s).