GlobalPayments WooCommerce : faille XSS sans authentification, correctif non précisé

En bref

• Produit : extension GlobalPayments WooCommerce (passerelle de paiement pour boutiques WooCommerce sous WordPress).
• Versions affectées : non précisé par l'éditeur.
• Version corrigée : non précisé par l'éditeur.
• Sévérité : élevée, score CVSS 7,1.
• CVE : CVE-2026-118085.
• Exploitation active : inconnu.
• Date de l'avis : 29 octobre 2026.

La fiche NVD publiée le 29 octobre 2026 décrit une vulnérabilité de type cross-site scripting (XSS) exploitable sans authentification dans l'extension GlobalPayments WooCommerce. Elle ne concerne ni le cœur de WooCommerce ni celui de WordPress, mais uniquement cette extension de paiement tierce.

Une faille XSS permet à un attaquant d'injecter du contenu malveillant qui s'exécute dans le navigateur d'un visiteur ou d'un administrateur. Selon le contexte, cela peut servir à détourner une session, à modifier l'affichage d'une page ou à pousser une victime vers une action qu'elle n'a pas voulue. L'absence d'authentification requise élargit le nombre d'attaquants potentiels, ce qui contribue au score de 7,1 attribué par la NVD.

À la date de rédaction, aucune exploitation active n'est signalée dans le catalogue de la CISA, et les sources disponibles ne précisent pas encore de version corrigée.

Qui est concerné ?

Sont concernés les sites WordPress équipés de WooCommerce sur lesquels l'extension GlobalPayments WooCommerce est installée. Une extension désactivée mais toujours présente sur le serveur reste un élément à surveiller et à retirer si elle n'est plus utilisée. Les boutiques qui utilisent une autre passerelle de paiement et n'ont jamais installé cette extension ne sont pas touchées par cette CVE.

Les agences et freelances qui maintiennent plusieurs boutiques ont intérêt à vérifier rapidement la liste des extensions de chaque site : les passerelles de paiement sont souvent installées lors d'un test puis oubliées.

Que faire ?

• Vérifier si l'extension GlobalPayments WooCommerce est présente sur vos sites, y compris désactivée.
• Mettre à jour l'extension dès qu'une version corrigée est publiée par l'éditeur, après une sauvegarde complète du site.
• En l'absence de correctif, évaluer la désactivation puis la suppression de l'extension si une autre passerelle peut prendre le relais.
• Examiner les journaux du serveur web et de WordPress à la recherche d'activité inhabituelle sur les pages de paiement ou de contenu injecté.
• Contrôler la liste des comptes administrateurs et forcer la reconnexion des utilisateurs en cas de doute.
• En cas de compromission avérée, restaurer une sauvegarde saine antérieure à l'incident, puis appliquer le correctif avant la remise en ligne.

Cet article sera mis à jour lorsque l'éditeur publiera une version corrigée ou si une exploitation active est confirmée.

Sources

• NVD : CVE-2026-118085 (fiche de référence, score CVSS).
• Patchstack : extension GlobalPayments WooCommerce, faille XSS (base de vulnérabilités, recoupement).