Product Gallery Slider for WooCommerce : faille d'autorisation corrigée en 2.3.26

En bref

• Produit : Product Gallery Slider & Additional Variation Images for WooCommerce (extension WordPress)
• Versions affectées : de la 2.3.23 jusqu'à la 2.3.26 exclue
• Version corrigée : 2.3.26
• Sévérité : élevée, score CVSS 7.2
• CVE : CVE-2026-120318
• Exploitation active : inconnu
• Date de l'avis : 2 novembre 2026

Le NVD a publié le 2 novembre 2026 un avis concernant l'extension WordPress Product Gallery Slider & Additional Variation Images for WooCommerce, utilisée pour afficher des galeries d'images produits et des images de variations sur les boutiques WooCommerce. La vulnérabilité, référencée CVE-2026-120318, relève d'une absence de contrôle d'autorisation sur les fonctions de sauvegarde, d'import et de réinitialisation des réglages intégrées à l'extension.

Nature de la vulnérabilité

Selon l'avis, ces fonctions ne vérifient pas suffisamment les droits de l'utilisateur qui les appelle. Un compte disposant du rôle « Shop Manager » (gestionnaire de boutique), qui a accès à la page de réglages de l'extension, peut s'en servir pour lire, écraser ou supprimer des options WordPress qui ne concernent pas l'extension.

La conséquence la plus grave décrite est une élévation de privilèges : en modifiant la définition des rôles du site, ce compte peut s'attribuer les droits d'administrateur. Il obtient alors le contrôle complet du site : gestion des extensions, des utilisateurs et des contenus. La suppression d'options peut aussi rendre le site ou la boutique inutilisable.

L'attaque suppose un compte authentifié avec le rôle Shop Manager. Elle concerne donc d'abord les boutiques qui délèguent la gestion du catalogue ou des commandes à des collaborateurs, à des prestataires, ou dont un tel compte aurait été compromis (mot de passe réutilisé, poste infecté). À la date de l'avis, aucune exploitation active n'est signalée dans le catalogue de la CISA ; l'existence d'attaques reste inconnue.

Qui est concerné ?

Tout site WordPress avec WooCommerce sur lequel l'extension Product Gallery Slider & Additional Variation Images for WooCommerce est installée dans une version comprise entre la 2.3.23 et la 2.3.26 exclue. Les versions antérieures à la 2.3.23 ne sont pas mentionnées comme affectées par l'avis ; leur statut est non précisé par l'éditeur.

Le risque est plus élevé pour les boutiques qui comptent plusieurs comptes Shop Manager, en particulier des comptes partagés ou attribués à des intervenants externes. Les agences qui maintiennent plusieurs boutiques clientes ont intérêt à inventorier rapidement les sites qui utilisent cette extension.

Que faire ?

• Mettre à jour l'extension vers la version 2.3.26 depuis le tableau de bord WordPress ou le dépôt officiel.
• Si la mise à jour ne peut pas être appliquée tout de suite, désactiver temporairement l'extension et restreindre les comptes Shop Manager aux personnes de confiance.
• Vérifier la liste des utilisateurs administrateurs et supprimer tout compte inconnu ou tout rôle modifié sans raison.
• Consulter les journaux d'activité et du serveur à la recherche d'actions inhabituelles sur la page de réglages de l'extension.
• Renouveler les mots de passe des comptes Shop Manager et administrateurs en cas de doute.
• En cas de compromission avérée, restaurer une sauvegarde saine antérieure à l'incident, puis appliquer la mise à jour avant de remettre le site en ligne.

Sources

• NVD : CVE-2026-120318 (avis de référence)
• VulnCheck : avis sur Product Gallery Slider for WooCommerce
• WordPress.org : journal des versions de l'extension