Veille sécuritéCMS & e-commerce
P3Élevée
SliceWP Affiliates présente une injection SQL via le paramètre « email », exploitable sans authentification lors d’une inscription WooCommerce My Account. La vulnérabilité concerne les versions jusqu’à 1.2.14 incluse et peut permettre l’extraction de données de la base.
WooCommerceWordPress
IdentifiantCVE-2026-120043
GravitéÉlevée
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-120043
Analyse technique
Le chemin vulnérable est atteint via le hook user_register; le paramètre fourni n’est pas suffisamment échappé et la requête SQL n’est pas suffisamment préparée.
Impact, versions et correctif
Événement datéLa fiche NVD a été publiée le 2026-11-07; sa mise à jour ultérieure ne change pas la date de l’événement retenu.
ImpactUn attaquant peut potentiellement extraire des informations sensibles de la base de données.
Versions affectéesToutes les versions jusqu’à 1.2.14 incluse.
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS7.5
EPSS0,40% · percentile 34,8%
Publication2026-11-07T05:18:08.970Z
Mise à jour2026-11-08T19:17:35.413Z
Action recommandée
Mettre à jour SliceWP Affiliates dès qu’une version corrigée est disponible et surveiller les inscriptions traitées par WooCommerce.
Sources
Priorisation DFS : P3 · 1 source(s).