Extension WooCommerce : contrôle d’autorisation manquant dans des actions AJAX de sauvegarde

Veille sécuritéCMS & e-commerce

P3Élevée

CVE-2026-120318 concerne Product Gallery Slider & Additional Variation Images for WooCommerce : des actions AJAX de sauvegarde Codestar dépourvues de contrôle d’autorisation adéquat peuvent permettre à un gestionnaire de boutique de lire, modifier ou supprimer des options WordPress. La description fournie indique les versions 2.3.23 à 2.3.25 comme concernées ; elle mentionne notamment un risque d’élévation de privilèges via la modification de wp_user_roles.

IdentifiantCVE-2026-120318

GravitéÉlevée

Exploitationnon connue / non déterminée

Correctif2.3.26

Source : NVD — CVE-2026-120318

Analyse technique

Les actions concernées sont csf-export, csf-import et csf-reset ; l’exploitation décrite nécessite un compte Shop Manager et l’accès au nonce de sauvegarde.

Impact, versions et correctif

Événement datéLa fiche NVD fournie indique une première publication le 2026-11-02 à 15:17:22.303Z, soit pendant la période demandée. Sa mise à jour ultérieure le même jour n’est pas traitée comme un événement distinct.

ImpactUn compte Shop Manager peut lire, écraser ou supprimer des options WordPress, avec un risque d’élévation de privilèges.

Versions affectéesProduct Gallery Slider & Additional Variation Images for WooCommerce 2.3.23 à 2.3.25

Version corrigée2.3.26

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS8.6

Publication2026-11-02T15:17:22.303Z

Mise à jour2026-11-02T19:35:33.347Z

Action recommandée

Mettre à jour l’extension vers une version corrigée dès qu’elle est confirmée par l’éditeur ; limiter les privilèges des comptes Shop Manager.

Sources

NVD — CVE-2026-120318

Priorisation DFS : P3 · 1 source(s).