Veille sécuritéCMS & e-commerce
P3Critique
CVE-2026-93754 affecte le plugin payever – WooCommerce Gateway et peut permettre l’écriture d’un fichier arbitraire dans le répertoire public des téléversements, avec risque d’exécution de code à distance. Les données décrivent des callbacks sans authentification et une validation du type de fichier effectuée après l’écriture ; elles ne donnent pas de version corrigée.
WooCommerceWordPress
IdentifiantCVE-2026-93754
GravitéCritique
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-93754
Analyse technique
Plusieurs callbacks WooCommerce API ne vérifient ni l’authentification, ni les capacités, ni un nonce ; upload_image() écrit le fichier avant d’en contrôler le type.
Impact, versions et correctif
Événement datéFiche NVD publiée le 2026-11-07T03:17:08.410Z, dans la période demandée ; la date de publication est retenue comme événement.
ImpactTéléversement non autorisé et risque d’exécution de code à distance.
Versions affectéespayever – WooCommerce Gateway jusqu’à la version 4.8.0 incluse
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS9.8
EPSS0,87% · percentile 59,1%
Publication2026-11-07T03:17:08.410Z
Mise à jour2026-11-08T19:17:43.467Z
Action recommandée
Désactiver le plugin jusqu’à disponibilité d’un correctif et vérifier les fichiers récemment ajoutés au répertoire des téléversements.
Sources
Priorisation DFS : P3 · 1 source(s).