Veille sécuritéCMS & e-commerce
P4Non déterminée
La passerelle Robokassa pour WooCommerce ne vérifie pas l’authenticité d’une notification de paiement avant de traiter la commande qu’elle désigne. Avant la version 1.9.0, un attaquant non authentifié peut faire passer des commandes en échec et les retirer de la file de traitement.
WooCommerceWordPress
IdentifiantCVE-2026-91076
GravitéNon déterminée
Exploitationnon connue / non déterminée
Correctif1.9.0
Source : NVD — CVE-2026-91076
Analyse technique
Les identifiants de commande sont séquentiels; les notifications entrantes ne sont pas authentifiées avant l’action sur la commande désignée.
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 2026-10-14 à 07:17:04.933Z, dans la période demandée; c’est cette date de publication, et non la modification ultérieure, qui est retenue.
ImpactDes commandes peuvent être forcées en échec et écartées du processus de traitement.
Versions affectéesRobokassa payment gateway for WooCommerce versions antérieures à 1.9.0
Version corrigée1.9.0
Exploitation activenon connue / non déterminée
PoC publicinconnu
EPSS0,17% · percentile 5,5%
Publication2026-10-14T07:17:04.933Z
Mise à jour2026-10-14T16:14:02.800Z
Détection / vérification
Vérifier si Robokassa payment gateway for WooCommerce est installé et antérieur à la version 1.9.0.
Action recommandée
Mettre à jour le plugin vers la version 1.9.0 ou ultérieure.
Sources
Priorisation DFS : P4 · 1 source(s).