Mollie Payments for WooCommerce : faille sur les frais de paiement corrigée en 8.2.0

En bref

• Produit : Mollie Payments for WooCommerce (extension WordPress)
• Versions affectées : toutes les versions antérieures à 8.2.0
• Version corrigée : 8.2.0
• Sévérité : non précisé par l'éditeur (aucun score CVSS publié à ce jour)
• CVE : CVE-2026-101165
• Exploitation active : inconnu
• Date de l'avis : 4 novembre 2026

Une vulnérabilité référencée CVE-2026-101165 a été publiée le 4 novembre 2026 dans la base NVD. Elle concerne l'extension Mollie Payments for WooCommerce, qui relie une boutique WooCommerce au prestataire de paiement Mollie. Avant la version 8.2.0, l'extension ne vérifie ni l'état de paiement d'une commande ni la passerelle de paiement demandée avant de retirer les frais supplémentaires de paiement configurés par le marchand.

Concrètement, un visiteur non authentifié peut faire baisser le total d'une commande avant de la régler, en faisant disparaître ces frais. L'avis ne décrit ni prise de contrôle du site ni vol de données : le risque est financier, puisque la boutique peut encaisser moins que le montant qu'elle avait prévu.

À la date de l'avis, aucun score CVSS n'a été attribué et la faille ne figure pas au catalogue des vulnérabilités exploitées de la CISA. L'absence d'exploitation connue ne signifie pas absence de risque : la correction est disponible et simple à appliquer.

Qui est concerné ?

Sont concernées toutes les boutiques WooCommerce qui utilisent Mollie Payments for WooCommerce dans une version antérieure à 8.2.0. La page de l'extension sur WordPress.org indique 100000 installations actives, ce qui en fait une extension de paiement largement répandue.

L'impact concerne surtout les marchands qui ont configuré des frais supplémentaires liés à un moyen de paiement, c'est-à-dire un surcoût appliqué à certaines méthodes de règlement. Les boutiques qui n'appliquent aucun surcoût de ce type sont moins exposées, mais la mise à jour reste recommandée pour toutes.

Les agences web et les freelances qui maintiennent plusieurs boutiques clientes ont intérêt à recenser rapidement les sites qui utilisent cette extension, ainsi que la version installée sur chacun.

Que faire ?

• Mettre à jour Mollie Payments for WooCommerce vers la version 8.2.0 ou ultérieure, depuis le tableau de bord WordPress ou votre outil de gestion de parc.
• Faire une sauvegarde complète (base de données et fichiers) juste avant la mise à jour, puis vérifier qu'un paiement test aboutit correctement.
• Contrôler les commandes récentes : rechercher celles dont le total payé est inférieur au total attendu, ou dont les frais de paiement ont disparu alors que le moyen de paiement choisi devait les appliquer.
• Consulter les journaux du serveur et de WooCommerce pour repérer des modifications de commandes inhabituelles avant paiement.
• En cas de compromission avérée du site, restaurer une sauvegarde saine antérieure à l'incident, puis appliquer la mise à jour avant de remettre la boutique en ligne.

Si la mise à jour ne peut pas être appliquée immédiatement, surveillez de près les montants encaissés en attendant.

Sources

• NVD : fiche CVE-2026-101165 (base nationale des vulnérabilités du NIST)
• WPScan : avis sur Mollie Payments for WooCommerce (base de vulnérabilités WordPress, recoupement)
• WordPress.org : page de l'extension Mollie Payments for WooCommerce