Checkout Files Upload for WooCommerce : faille critique corrigée en 2.4.0

En bref

• Produit : Checkout Files Upload for WooCommerce, extension WordPress.
• Versions affectées : toutes les versions antérieures à 2.4.0.
• Version corrigée : 2.4.0.
• Sévérité : critique (score CVSS 9.8).
• CVE : CVE-2026-103688.
• Exploitation active : inconnu.
• Date de l'avis : 28 octobre 2026.

Une vulnérabilité critique a été publiée le 28 octobre 2026 dans la base NVD pour l'extension WordPress Checkout Files Upload for WooCommerce, qui permet aux clients d'une boutique de joindre des fichiers à leur commande. Elle porte l'identifiant CVE-2026-103688 et reçoit un score CVSS de 9.8. La version 2.4.0 de l'extension corrige le problème.

Selon l'avis, l'extension ne contrôle pas le type des fichiers envoyés lorsque le réglage des types de fichiers acceptés est laissé vide, alors que sa documentation présente justement ce choix comme la manière d'accepter tous les fichiers. Un visiteur non authentifié peut alors déposer des fichiers arbitraires sur le serveur, y compris des fichiers PHP. Sur un hébergement qui exécute le PHP placé dans le dossier des téléversements, cela peut aboutir à une exécution de code à distance, donc à une prise de contrôle du site.

À la date de rédaction, aucune exploitation active n'est signalée par les sources consultées : la vulnérabilité ne figure pas au catalogue KEV de la CISA. Ce statut peut évoluer rapidement pour une faille de ce type, qui ne demande aucun compte.

Qui est concerné ?

Sont concernées toutes les boutiques WooCommerce qui utilisent Checkout Files Upload for WooCommerce dans une version antérieure à 2.4.0. Le risque est le plus élevé lorsque deux conditions sont réunies :

• le réglage des types de fichiers acceptés est vide, c'est-à-dire que la boutique accepte tous les fichiers ;
• le serveur exécute les fichiers PHP présents dans le dossier des téléversements de WordPress.

Le nombre de sites équipés de l'extension n'est pas précisé par l'éditeur. Les sites qui n'utilisent pas cette extension ne sont pas concernés par cet avis : il ne s'agit pas d'une faille du cœur de WordPress ni de WooCommerce lui-même.

Que faire ?

• Mettre à jour Checkout Files Upload for WooCommerce vers la version 2.4.0 ou une version ultérieure, depuis le tableau de bord WordPress ou votre outil de maintenance.
• Si la mise à jour ne peut pas être faite immédiatement, désactiver l'extension en attendant, ou au minimum renseigner une liste restreinte de types de fichiers acceptés.
• Vérifier que le serveur n'exécute pas de PHP dans le dossier des téléversements ; c'est une bonne pratique de durcissement, indépendante de cette faille.
• Examiner les journaux du serveur web et le contenu du dossier des téléversements à la recherche de fichiers inattendus, en particulier des fichiers PHP déposés via le formulaire de commande.
• En cas de compromission avérée ou suspectée, restaurer une sauvegarde saine antérieure à l'intrusion, appliquer la mise à jour, puis changer les mots de passe des comptes administrateurs et les clés de sécurité du site.

Pour les sites dont les sauvegardes sont gérées par Sentinelo, la restauration à partir d'une archive conservée est lancée à la demande par l'équipe Sentinelo.

Sources

• NVD : fiche CVE-2026-103688 (avis de référence, score CVSS et description).
• WPScan : fiche de la vulnérabilité (base de vulnérabilités WordPress, recoupement).