Veille sécuritéCMS & e-commerce
P4Moyenne
Pay with Vipps and MobilePay for WooCommerce ne validait pas correctement la signature de certains webhooks de paiement récurrent lorsque aucun secret local de webhook n’était configuré. Un attaquant non authentifié pouvait alors forger un événement et annuler un abonnement actif ; mettre à jour l’extension vers la version 6.4.1 ou ultérieure.
WooCommerce
IdentifiantCVE-2026-121970
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif6.4.1
Source : NVD — CVE-2026-121970
Analyse technique
En l’absence de secret, le gestionnaire calculait un HMAC avec une clé vide et utilisait une comparaison non stricte au lieu de rejeter la requête et d’effectuer une comparaison sécurisée.
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 2026-11-04, dans la période retenue ; l’avis décrit une vulnérabilité, et non une simple modification administrative.
ImpactUn attaquant non authentifié pouvait forger un webhook de résiliation et annuler un abonnement WooCommerce actif.
Versions affectéesVersions antérieures à 6.4.1
Version corrigée6.4.1
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS6.3
Publication2026-11-04T13:17:29.670Z
Mise à jour2026-11-04T19:17:38.700Z
Action recommandée
Mettre à jour l’extension vers la version 6.4.1 ou ultérieure.
Sources
Priorisation DFS : P4 · 1 source(s).