Veille sécuritéCMS & e-commerce
P4Moyenne
Sifalo Pay ne vérifie pas que l’identifiant de transaction appartient à la commande confirmée ni que le demandeur en est propriétaire. Avant la version 2.5.3, un attaquant non authentifié disposant d’un identifiant de transaction valide issu de son propre paiement peut faire marquer comme payées des commandes en attente qui ne lui appartiennent pas.
WordPress
IdentifiantCVE-2026-94261
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif2.5.3
Source : NVD — CVE-2026-94261
Analyse technique
La confirmation de paiement ne lie pas la transaction à la commande et ne vérifie pas la propriété de celle-ci.
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 2026-10-14 à 07:17:05.467Z, dans la période demandée; c’est cette date de publication, et non la modification ultérieure, qui est retenue.
ImpactDes commandes en attente peuvent être marquées payées sans que le paiement corresponde à ces commandes.
Versions affectéesSifalo Pay versions antérieures à 2.5.3
Version corrigée2.5.3
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS5.3
EPSS0,17% · percentile 5,5%
Publication2026-10-14T07:17:05.467Z
Mise à jour2026-10-14T16:14:02.800Z
Action recommandée
Mettre à jour Sifalo Pay vers la version 2.5.3 ou ultérieure.
Sources
Priorisation DFS : P4 · 1 source(s).