Veille sécuritéBackend & données
P4Moyenne
WooCommerce Stripe Payment Gateway en version 10.9.0 enregistrait en clair dans les métadonnées de commande le mot de passe choisi lors de la création d’un compte pendant un paiement express. La version 10.9.1 a empêché de nouveaux enregistrements, mais la version 11.1.0 supprime également les mots de passe déjà stockés; ceux-ci doivent être considérés comme exposés.
ExpressWooCommerceWordPress
IdentifiantCVE-2026-123145
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif11.1.0
Source : NVD — CVE-2026-123145
Analyse technique
Les mots de passe pouvaient être consultés par toute personne ayant accès aux données de commande ou à la base de données.
Impact, versions et correctif
Événement datéLa fiche NVD a été publiée le 2026-11-09T07:17:30.077Z, dans la période demandée. Sa mise à jour du 2026-11-10 est postérieure à la période et n’est pas retenue comme événement.
ImpactDivulgation en clair des mots de passe créés lors du paiement express aux personnes ayant accès aux données de commande ou à la base.
Versions affectéesLa version 10.9.0 a stocké les mots de passe; la version 10.9.1 a empêché les nouveaux enregistrements sans supprimer les données existantes. La fiche indique une suppression des mots de passe stockés en version 11.1.0.
Version corrigée11.1.0
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS4.4
EPSS0,14% · percentile 3,4%
Publication2026-11-09T07:17:30.077Z
Mise à jour2026-11-10T16:28:46.510Z
Action recommandée
Mettre à jour vers la version 11.1.0 ou ultérieure et réinitialiser les mots de passe concernés, considérés comme exposés.
Sources
Priorisation DFS : P4 · 1 source(s).