Veille sécuritéCMS & e-commerce
P4Non déterminée
SellKit ne valide pas le prix d’un produit fourni par le client lorsque les totaux sont recalculés pendant le paiement. Avant la version 2.8.0, un attaquant non authentifié peut commander un produit achetable au prix de son choix.
WordPress
IdentifiantCVE-2026-94254
GravitéNon déterminée
Exploitationnon connue / non déterminée
Correctif2.8.0
Source : NVD — CVE-2026-94254
Analyse technique
Le prix transmis par le client n’est pas validé lors du recalcul des totaux à l’étape de paiement.
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 2026-10-14 à 07:17:05.257Z, dans la période demandée; c’est cette date de publication, et non la modification ultérieure, qui est retenue.
ImpactDes commandes peuvent être passées à un prix arbitrairement réduit.
Versions affectéesSellKit versions antérieures à 2.8.0
Version corrigée2.8.0
Exploitation activenon connue / non déterminée
PoC publicinconnu
EPSS0,17% · percentile 5,5%
Publication2026-10-14T07:17:05.257Z
Mise à jour2026-10-14T16:14:02.800Z
Action recommandée
Mettre à jour SellKit vers la version 2.8.0 ou ultérieure.
Sources
Priorisation DFS : P4 · 1 source(s).