Veille sécuritéCMS & e-commerce
P3Critique
La fiche NVD publiée le 11 novembre 2026 décrit une absence de contrôle d’accès dans plusieurs routes REST API de Security For WooCommerce, permettant à des visiteurs non authentifiés de générer puis récupérer des jetons de connexion pour n’importe quel compte, y compris administrateur. La version concernée va jusqu’à 1.0.16 incluse ; aucun correctif ni contournement n’est indiqué dans les données fournies.
WooCommerceWordPress
IdentifiantCVE-2026-123695
GravitéCritique
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-123695
Analyse technique
Un attaquant non authentifié peut obtenir des jetons de connexion pour tous les utilisateurs et se connecter à leur place.
Impact, versions et correctif
Événement datéPublication de la fiche NVD le 11 novembre 2026, dans la période demandée. La mise à jour NVD du 12 novembre est postérieure à la période et n’est pas retenue comme événement.
ImpactPrise de contrôle de comptes, y compris de comptes administrateurs.
Versions affectéesSecurity For WooCommerce jusqu’à 1.0.16 incluse
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS9.8
EPSS0,17% · percentile 6,9%
Publication2026-11-11T06:17:18.470Z
Mise à jour2026-11-12T18:49:18.840Z
Action recommandée
Mettre à jour Security For WooCommerce dès qu’un correctif est disponible ; aucun numéro de version corrigée n’est indiqué dans les données fournies.
Sources
Priorisation DFS : P3 · 1 source(s).