Veille sécuritéCMS & e-commerce
P4Moyenne
Welcart e-Commerce présente une référence directe non sécurisée à un objet (IDOR) dans les versions jusqu’à 2.12.5 incluses. Un attaquant non authentifié connaissant l’identifiant numérique d’un membre peut remplacer son adresse e-mail et son mot de passe, puis prendre le contrôle de son compte de boutique.
WordPress
IdentifiantCVE-2026-119166
GravitéMoyenne
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-119166
Analyse technique
Le champ contrôlé « member[ID] » n’est pas suffisamment validé. Le contrôle nonce décrit par la source est affiché aux visiteurs non authentifiés sur le formulaire d’inscription publié automatiquement.
Impact, versions et correctif
Événement datéFiche NVD publiée le 2026-10-31T07:16:36.750Z, dans la période retenue; la mise à jour NVD du 2026-11-03 est postérieure et n’est pas retenue.
ImpactLa modification des identifiants d’un compte membre peut permettre une prise de contrôle complète de ce compte.
Versions affectéesToutes les versions jusqu’à 2.12.5 incluses
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS5.3
EPSS0,29% · percentile 21,5%
Publication2026-10-31T07:16:36.750Z
Sources
Priorisation DFS : P4 · 1 source(s).