Veille sécuritéCMS & e-commerce
P4Moyenne
Payable Payment Gateway for WooCommerce, avant la version 1.3.1, ne vérifie pas l’authenticité des notifications de paiement avant de modifier l’état d’une commande. Un attaquant non authentifié peut faire passer une commande en payée ou en échec, quel que soit le moyen de paiement utilisé.
WooCommerceWordPress
IdentifiantCVE-2026-94361
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif1.3.1
Source : NVD — CVE-2026-94361
Analyse technique
Les notifications de paiement entrantes ne sont pas authentifiées avant la mise à jour de l’état de commande.
Impact, versions et correctif
Événement datéLa fiche NVD a été publiée le 2026-10-31, dans la période demandée. Sa mise à jour du 2026-11-02 est postérieure et n’est pas retenue comme événement.
ImpactL’état de paiement de commandes peut être altéré sans authentification, avec un risque de fraude.
Versions affectéesVersions antérieures à 1.3.1
Version corrigée1.3.1
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS5.3
EPSS0,15% · percentile 3,9%
Publication2026-10-31T06:16:35.460Z
Mise à jour2026-11-02T16:20:09.333Z
Action recommandée
Mettre à jour Payable Payment Gateway for WooCommerce vers la version 1.3.1 ou une version ultérieure.
Sources
Priorisation DFS : P4 · 1 source(s).