OpenCart — contournement du paiement via Free Checkout et points de récompense

Veille sécuritéCMS & e-commerce

P4Faible

OpenCart présente une faille de logique métier dans le parcours Free Checkout : un client connecté peut manipuler les points de récompense pour faire passer une commande sans paiement. Les versions affectées indiquées vont jusqu’à 4.1.0.4 inclus ; aucun correctif ni contournement n’est établi par les éléments consultés.

IdentifiantCVE-2026-119558

GravitéFaible

Exploitationnon connue / non déterminée

CorrectifNon précisé dans les sources

Source : NVD — CVE-2026-119558

Analyse technique

La faille concerne l’application des points de récompense lors de la confirmation du paiement Free Checkout ; l’enregistrement de zéro point peut permettre au flux de confirmation de valider la commande sans paiement.

Impact, versions et correctif

Événement datéLa fiche CVE indique une publication le 2026-10-30T11:31:07.587Z, dans la période demandée. La mise à jour NVD ultérieure du même jour concerne la même CVE et ne constitue pas un item distinct ; les résultats consultés ne permettent pas d’établir qu’elle décrit une nouvelle faille séparée.

ImpactUn client connecté pourrait faire enregistrer une commande sans paiement, avec un impact sur l’intégrité des commandes et les revenus de la boutique.

Versions affectéesOpenCart jusqu’à 4.1.0.4 inclus

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS2.3 · CVSS:4.0/AV:N/AC:H/AT:P/PR:L/UI:N/VC:N/VI:L/VA:N/SC:N/SI:N/SA:N

Publication2026-10-30T11:31:07.587Z

Mise à jour2026-10-30T11:31:07.587Z

Action recommandée

Mettre à jour vers une version corrigée lorsqu’elle sera publiée ; dans l’intervalle, vérifier les commandes Free Checkout et les changements de points de récompense. Aucun correctif identifié dans les sources consultées.

Sources

NVD — CVE-2026-119558

Priorisation DFS : P4 · 1 source(s).