Veille sécuritéCMS & e-commerce
P4Moyenne
Le webhook de paiement d’Asaas Gateway for WooCommerce n’authentifie pas correctement les notifications et ne vérifie pas que le paiement confirmé correspond à la commande. Avant la version 2.7.8, un attaquant non authentifié peut ainsi faire marquer arbitrairement des commandes comme payées.
WooCommerceWordPress
IdentifiantCVE-2026-87974
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif2.7.8
Source : NVD — CVE-2026-87974
Analyse technique
La configuration par défaut accepte un jeton d’accès vide pour le webhook; la notification n’est pas liée à la commande concernée.
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 2026-10-14 à 07:17:04.170Z, dans la période demandée; c’est cette date de publication, et non la modification ultérieure, qui est retenue.
ImpactDes commandes WooCommerce peuvent être marquées payées sans vérification fiable du paiement correspondant.
Versions affectéesAsaas Gateway for WooCommerce versions antérieures à 2.7.8
Version corrigée2.7.8
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS5.3
EPSS0,22% · percentile 12,0%
Publication2026-10-14T07:17:04.170Z
Mise à jour2026-10-14T16:14:02.800Z
Détection / vérification
Vérifier si Asaas Gateway for WooCommerce est installé et antérieur à la version 2.7.8.
Action recommandée
Mettre à jour le plugin vers la version 2.7.8 ou ultérieure.
Sources
Priorisation DFS : P4 · 1 source(s).