TI WooCommerce Wishlist : faille de contrôle d'accès corrigée en 2.13.0

En bref

• Produit : TI WooCommerce Wishlist, extension WordPress de listes de souhaits pour les boutiques WooCommerce.
• Versions affectées : toutes les versions antérieures à 2.13.0.
• Version corrigée : 2.13.0.
• Sévérité : score CVSS non précisé par l'éditeur à la date de l'avis.
• CVE : CVE-2026-124648.
• Exploitation active : inconnu.
• Date de l'avis : 12 novembre 2026.

Une vulnérabilité de contrôle d'accès a été publiée dans la base NVD pour l'extension TI WooCommerce Wishlist. Selon la description de l'avis, l'extension ne vérifie pas, avant la version 2.13.0, qu'un visiteur non connecté est bien le propriétaire de la liste de souhaits d'un utilisateur inscrit avant de le laisser la gérer. Un visiteur non authentifié qui connaît ou devine l'identifiant de partage d'une liste peut ainsi supprimer des produits des listes de souhaits d'autres clients.

L'impact décrit porte sur l'intégrité des données des clients, c'est-à-dire le contenu de leurs listes de souhaits, et non sur une prise de contrôle du site. Aucun score de gravité n'avait encore été attribué au moment de la publication, et aucune exploitation active n'est signalée à ce stade.

Qui est concerné ?

Sont concernés tous les sites WordPress équipés de WooCommerce sur lesquels l'extension TI WooCommerce Wishlist est installée dans une version antérieure à 2.13.0. La page de l'extension sur le répertoire officiel de WordPress fait état d'un très large parc d'installations actives, ce qui justifie une vérification systématique, en particulier pour les agences et les freelances qui maintiennent plusieurs boutiques en ligne.

Les boutiques qui permettent le partage des listes de souhaits, ou dont les clients utilisent activement cette fonction, sont les plus exposées : une liste vidée sans action du client peut dégrader l'expérience d'achat et générer des demandes au support. Les sites où l'extension est installée mais désactivée doivent tout de même être mis à jour ou nettoyés, une extension inutilisée restant une surface d'attaque potentielle si elle est réactivée un jour.

Que faire ?

• Mettre à jour TI WooCommerce Wishlist vers la version 2.13.0 ou une version ultérieure, depuis le tableau de bord WordPress ou votre outil de gestion de parc.
• Si l'extension n'est plus utilisée, la désactiver puis la supprimer plutôt que de la laisser en place.
• Vérifier les journaux du serveur web et de WooCommerce à la recherche d'activité inhabituelle sur les listes de souhaits provenant de visiteurs non connectés.
• Prendre au sérieux les signalements de clients dont la liste de souhaits aurait été modifiée sans leur intervention.
• En cas de compromission avérée, restaurer une sauvegarde saine antérieure à l'incident, puis appliquer immédiatement la mise à jour avant de remettre la boutique en service.

Pensez enfin à tester la mise à jour sur un environnement de préproduction lorsque la boutique s'appuie sur des personnalisations de l'extension, afin de vérifier que l'affichage et le partage des listes de souhaits fonctionnent toujours correctement.

Sources

• NVD : CVE-2026-124648 (avis de référence).
• WPScan : fiche de la vulnérabilité TI WooCommerce Wishlist (recoupement).
• WordPress.org : page officielle de l'extension TI WooCommerce Wishlist (téléchargement de la version corrigée).