Veille sécuritéCMS & e-commerce
P3Élevée
Shipping Zones by Drawing pour WooCommerce est vulnérable à une XSS stockée via le paramètre de paiement « szbd-picked » dans les versions jusqu’à 3.3.0 incluses. Un client non authentifié peut soumettre une commande invitée forgée; le contenu injecté est rendu dans le lien Google Maps de la vue de commande WooCommerce et peut s’exécuter lorsqu’un administrateur la consulte.
WooCommerceWordPress
IdentifiantCVE-2026-119065
GravitéÉlevée
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-119065
Analyse technique
La valeur JSON stockée n’est pas suffisamment validée; les valeurs décodées de latitude et longitude sont concaténées dans un attribut href sans échappement adapté.
Impact, versions et correctif
Événement datéFiche NVD publiée le 2026-10-31T07:16:36.163Z, dans la période retenue; la mise à jour NVD du 2026-11-02 est postérieure et n’est pas retenue.
ImpactLe script peut s’exécuter dans le navigateur d’un administrateur consultant une commande piégée.
Versions affectéesVersions jusqu’à 3.3.0 incluses
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS7.2
EPSS0,24% · percentile 15,3%
Publication2026-10-31T07:16:36.163Z
Action recommandée
Mettre à jour vers une version corrigée confirmée et examiner les commandes récentes comportant des données de zones de livraison anormales.
Sources
Priorisation DFS : P3 · 1 source(s).