Veille sécuritéCMS & e-commerce
P3Critique
JTL-Connector for WooCommerce accepte une valeur jtlauth vide comme identifiant valide et valide insuffisamment le type des fichiers envoyés, permettant le téléversement non authentifié de fichiers potentiellement exécutables. Toutes les versions jusqu’à 2.4.3 incluse sont concernées ; aucune version corrigée ni mesure de contournement n’est précisée.
WooCommerceWordPress
IdentifiantCVE-2026-87855
GravitéCritique
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-87855
Analyse technique
La faille implique les fonctions startSession() et handleImagePush() ; un fichier téléversé susceptible d’être exécuté peut conduire à une exécution de code à distance.
Impact, versions et correctif
Événement datéRetenue comme nouvelle vulnérabilité : la fiche indique une date de publication NVD dans la période, le 2026-10-14. La date de mise à jour NVD est également dans la période, mais n’est pas à elle seule considérée comme l’événement déclencheur.
ImpactUn attaquant non authentifié peut téléverser un fichier exécutable et potentiellement exécuter du code à distance.
Versions affectéesToutes les versions jusqu’à 2.4.3 incluse
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS9.8
EPSS0,79% · percentile 55,3%
Publication2026-10-14T04:18:52.840Z
Mise à jour2026-10-14T15:17:26.197Z
Action recommandée
Désactiver le connecteur jusqu’à disponibilité d’un correctif ; vérifier les fichiers récemment téléversés et l’intégrité du serveur.
Sources
Priorisation DFS : P3 · 1 source(s).