Veille sécuritéCMS & e-commerce
P3Élevée
Le plugin ERP: Complete HR, Accounting & CRM Suite Built for WooCommerce est vulnérable à une XSS stockée pouvant être déclenchée par un courriel entrant, sans compte WordPress. Toutes les versions jusqu’à 1.17.10 incluse sont concernées; la source fournie ne précise pas de version corrective.
WooCommerceWordPress
IdentifiantCVE-2026-96894
GravitéÉlevée
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-96894
Analyse technique
La validation du routeur de courriels entrants repose sur une correspondance du champ References avec un jeton de réponse dont le hachage n’est pas vérifié cryptographiquement; l’assainissement et l’échappement sont insuffisants.
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 2026-10-30, dans la période demandée; l’événement retenu est la publication de la vulnérabilité, et non une simple modification administrative.
ImpactUn attaquant externe peut injecter des scripts qui s’exécutent lorsqu’un utilisateur consulte une page affectée, notamment dans le contexte de courriels entrants traités par le plugin.
Versions affectéesToutes les versions jusqu’à 1.17.10 incluse.
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS7.2
Publication2026-10-30T18:18:21.320Z
Mise à jour2026-10-30T19:20:25.463Z
Action recommandée
Mettre à jour le plugin dès qu’une version corrective est disponible; aucune version corrigée n’est indiquée dans les données fournies.
Sources
Priorisation DFS : P3 · 1 source(s).