Veille sécuritéCMS & e-commerce
P4Moyenne
WooCommerce Multilingual & Multicurrency with WPML présente une injection SQL liée au paramètre de taux de change traité par save_currency(). Les versions jusqu’à 5.5.7 incluse sont concernées; l’exploitation permettant l’extraction de données est attribuée à des attaquants authentifiés ayant au moins des droits de Shop Manager.
WooCommerceWordPress
IdentifiantCVE-2026-120563
GravitéMoyenne
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-120563
Analyse technique
Le taux de change est insuffisamment validé et des données sont ensuite concaténées dans des clauses ORDER BY sans assainissement adapté.
Impact, versions et correctif
Événement datéNouvelle vulnérabilité publiée par NVD dans la période, le 2026-11-03.
ImpactUn attaquant authentifié peut exploiter la requête pour extraire des informations sensibles de la base.
Versions affectéesJusqu’à la version 5.5.7 incluse.
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS4.9
EPSS0,30% · percentile 22,9%
Publication2026-11-03T05:18:33.647Z
Mise à jour2026-11-03T05:18:33.790Z
Action recommandée
Mettre à jour le plugin lorsqu’un correctif est disponible et limiter les comptes ayant des privilèges de gestion WooCommerce.
Sources
Priorisation DFS : P4 · 1 source(s).