Veille sécuritéCMS & e-commerce
P4Moyenne
Le plugin ShopEngine Gutenberg WooCommerce Builder Blocks Addon avant la version 2.4.4 ne vérifie pas correctement les droits de l’utilisateur ni la propriété de l’article dans une action AJAX, et ne neutralise pas la valeur stockée avant son insertion dans un contexte JavaScript. Un utilisateur ayant le rôle Contributeur ou un rôle supérieur peut ainsi injecter un script exécuté lorsqu’un utilisateur privilégié modifie l’article concerné.
JavaScriptWooCommerceWordPress
IdentifiantCVE-2026-92396
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif2.4.4
Source : NVD — CVE-2026-92396
Analyse technique
La vulnérabilité combine un contrôle d’autorisation insuffisant sur une action AJAX et une injection de script stocké dans un contexte JavaScript.
Impact, versions et correctif
Événement datéLa fiche indique une première publication le 2026-11-06T06:16:44.640Z, comprise dans la période demandée; l’événement retenu est la publication de la vulnérabilité.
ImpactExécution de JavaScript lors de la modification d’un article par un utilisateur privilégié.
Versions affectéesShopEngine Gutenberg WooCommerce Builder Blocks Addon avant 2.4.4
Version corrigée2.4.4
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS6.8
EPSS0,15% · percentile 4,5%
Publication2026-11-06T06:16:44.640Z
Mise à jour2026-11-06T20:09:13.780Z
Action recommandée
Mettre à jour le plugin vers la version 2.4.4 ou ultérieure.
Sources
Priorisation DFS : P4 · 1 source(s).