Veille sécuritéCMS & e-commerce
P4Moyenne
Le plugin Dokan présente une référence directe non sécurisée permettant à un vendeur authentifié de modifier le mot de passe de certains clients. Les versions jusqu’à 5.2.1 inclus sont concernées ; l’attaquant peut alors accéder au compte client visé.
WooCommerceWordPress
IdentifiantCVE-2026-89280
GravitéMoyenne
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-89280
Analyse technique
Défaut de contrôle d’un identifiant fourni par l’utilisateur via le paramètre « password ». La cible doit avoir passé au moins une commande auprès du vendeur attaquant.
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 2026-10-16 ; cette publication de la vulnérabilité, et non sa seule mise à jour ultérieure, est retenue.
ImpactPrise de contrôle limitée d’un compte client répondant aux conditions décrites.
Versions affectéesToutes les versions jusqu’à 5.2.1 inclus
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS4.3
EPSS0,21% · percentile 10,9%
Publication2026-10-16T04:18:41.037Z
Mise à jour2026-10-16T15:17:33.920Z
Action recommandée
Mettre à jour vers une version corrigée dès qu’elle est disponible ; contrôler les comptes vendeurs et les options d’inscription publique.
Sources
Priorisation DFS : P4 · 1 source(s).