Veille sécuritéCMS & e-commerce
P4Moyenne
La publication NVD du 25 octobre signale un défaut de vérification des notifications de paiement dans Chikkili- Google Pay India for Woocommerce, présent jusqu’à la version 1.0.6. Un attaquant non authentifié peut faire marquer des commandes arbitraires comme payées sans effectuer de paiement.
WooCommerceWordPress
IdentifiantCVE-2026-94295
GravitéMoyenne
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-94295
Analyse technique
Le plugin ne vérifie pas que la notification de paiement provient effectivement du fournisseur de paiement avant de modifier le statut de la commande.
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 25 octobre 2026 à 06:16:33 UTC, soit dans la période demandée en +02:00. Sa mise à jour du 26 octobre est postérieure à la borne de fin et n’est pas retenue.
ImpactDes commandes peuvent être marquées comme payées sans qu’un paiement ait été effectué.
Versions affectéesVersions jusqu’à 1.0.6 inclus
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS5.3 · CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N
EPSS0,14% · percentile 3,1%
Publication2026-10-25T06:16:33.037Z
Action recommandée
Vérifier les commandes marquées payées et confirmer leur règlement auprès du fournisseur de paiement. Aucune version corrigée n’est établie par les sources consultées.
Sources
Priorisation DFS : P4 · 1 source(s).