Veille sécuritéCMS & e-commerce
P4Moyenne
wePOS (Point Of Sale for WooCommerce) ne vérifiait pas l’autorisation d’un utilisateur de niveau vendeur sur une route REST de traitement des paiements. Un vendeur pouvait marquer comme payée et terminée une commande d’autrui sans paiement réel, déclenchant notamment la réduction du stock et l’accès aux produits payés ; mettre à jour vers la version 2.0.3 ou ultérieure.
WooCommerce
IdentifiantCVE-2026-121993
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif2.0.3
Source : NVD — CVE-2026-121993
Analyse technique
La route REST wepos/v1/payment/process acceptait l’identifiant d’une commande sans vérifier que l’utilisateur vendeur était autorisé à la traiter.
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 2026-11-04, dans la période retenue ; l’avis décrit une vulnérabilité, et non une simple modification administrative.
ImpactUn vendeur pouvait faire passer une commande d’autrui à l’état payé et terminé sans effectuer de paiement, avec les effets associés sur le stock et l’accès aux commandes.
Versions affectéesVersions antérieures à 2.0.3
Version corrigée2.0.3
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS5.3
Publication2026-11-04T14:17:39.050Z
Mise à jour2026-11-04T19:17:38.857Z
Action recommandée
Mettre à jour wePOS vers la version 2.0.3 ou ultérieure.
Sources
Priorisation DFS : P4 · 1 source(s).