🛡 xj1.fr/cve
FICHE CVE

CVE-2026-9702

Publiée le 2026-06-25 · Dernière modification le 2026-06-25

🇫🇷 EN BREF

Les sites WordPress utilisant l'extension InPost PL (versions antérieures à 1.9.1) sont concernés. Un attaquant non authentifié peut rediriger à distance la destination d'expédition de toute commande WooCommerce en attente ou en cours de traitement vers un autre casier automatique. Cette action peut être exécutée via le réseau, sans aucune interaction de l'utilisateur ni identifiant de compte.

CVSS 3.17.5 ÉLEVÉE
Publiée2026-06-25
Dernière modification2026-06-25

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau
Complexité d'attaqueFaible
Privilèges requisAucun
Interaction utilisateurAucune
PortéeInchangée
Impact sur la confidentialitéAucun
Impact sur l'intégritéÉlevé
Impact sur la disponibilitéAucun

RÉFÉRENCES

Description officielle du NVD (en anglais)

The InPost PL WordPress plugin before 1.9.1 does not verify that the request originates from the legitimate buyer before allowing the WooCommerce order parcel-locker destination to be updated, allowing unauthenticated attackers to silently redirect the shipping destination of any pending or processing order on the site.