Veille sécuritéCMS & e-commerce
P4Moyenne
Wava Payment Plugin avant la version 0.3.10 ne vérifie pas l’authenticité des notifications du fournisseur de paiement et ne limite pas qui peut les envoyer. Un attaquant non authentifié peut modifier le statut de commandes WooCommerce; dans les versions jusqu’à 0.3.7, la réponse peut également divulguer les coordonnées de facturation de la commande concernée.
WooCommerceWordPress
IdentifiantCVE-2026-87837
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif0.3.10
Source : NVD — CVE-2026-87837
Analyse technique
Les notifications entrantes ne sont ni authentifiées ni restreintes; les changements de statut possibles incluent le paiement ou l’annulation d’une commande.
Impact, versions et correctif
Événement datéLa fiche CVE a été publiée par le NVD le 2026-10-21, dans la période demandée.
ImpactModification non autorisée du statut des commandes, notamment paiement ou annulation; divulgation de coordonnées de facturation signalée jusqu’à la version 0.3.7.
Versions affectéesWava Payment Plugin avant 0.3.10; la divulgation de coordonnées est signalée jusqu’à 0.3.7
Version corrigée0.3.10
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS5.3
EPSS0,14% · percentile 3,3%
Publication2026-10-21T06:16:50.413Z
Mise à jour2026-10-21T18:37:38.700Z
Action recommandée
Mettre à jour Wava Payment Plugin vers la version 0.3.10 ou ultérieure.
Sources
Priorisation DFS : P4 · 1 source(s).