Veille sécuritéCMS & e-commerce
P3Élevée
Smoove abandoned cart trigger for WooCommerce, avant la version 4.3.6, n’assainit ni n’échappe les données de panier abandonné soumises par les visiteurs avant leur affichage dans le tableau de bord d’administration. Un utilisateur non authentifié peut ainsi provoquer une attaque XSS persistante visant les administrateurs ; mettre à jour le plugin vers la version 4.3.6 ou ultérieure.
WooCommerceWordPress
IdentifiantCVE-2026-123134
GravitéÉlevée
Exploitationnon connue / non déterminée
Correctif4.3.6
Source : NVD — CVE-2026-123134
Analyse technique
Des données contrôlées par le visiteur sont rendues dans l’interface d’administration sans assainissement ni échappement adéquats.
Impact, versions et correctif
Événement datéLa fiche NVD a été publiée le 2026-11-11T06:17:17.693Z, dans la période demandée. Sa mise à jour du 2026-11-12 est postérieure à la borne de fin et n’est pas retenue comme événement.
ImpactUn visiteur non authentifié peut exécuter du contenu scripté dans le contexte du tableau de bord consulté par un administrateur.
Versions affectéesVersions antérieures à 4.3.6
Version corrigée4.3.6
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS8.8
EPSS0,22% · percentile 12,7%
Publication2026-11-11T06:17:17.693Z
Mise à jour2026-11-11T06:17:17.693Z
Action recommandée
Mettre à jour Smoove abandoned cart trigger for WooCommerce vers la version 4.3.6 ou ultérieure.
Sources
Priorisation DFS : P3 · 1 source(s).