CVE-2026-104642
Publiée le 2026-10-21 · Dernière modification le 2026-10-21
Les versions de Simple Shopping Cart pour WordPress antérieures à la version 5.3.3 sont concernées. Ce plugin permet aux propriétaires de sites d'ajouter un système de paiement e-commerce basique à leur site web. La faille existe car le logiciel ne vérifie pas que les prix des produits sont définis par un administrateur autorisé, permettant ainsi à des utilisateurs de niveau inférieur de soumettre leurs propres valeurs de prix.
Un attaquant disposant de permissions de niveau « Collaborateur » ou supérieur peut modifier le coût des produits existants, compromettant ainsi l'intégrité de la tarification de la boutique. Comme cela nécessite un compte privilégié et un accès réseau, l'exécution est relativement difficile pour un visiteur occasionnel. Il n'y a aucun impact sur la confidentialité des données ou sur la disponibilité du système.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
The Simple Shopping Cart WordPress plugin before 5.3.3 does not verify submitted product prices against a value only the site owner can set, allowing users with the Contributor role and above to register attacker-chosen prices for existing products, which any visitor can then use to add those products to the cart at that price.