TI WooCommerce Wishlist : injection SQL corrigée en 2.0.7
12 novembre 20263 min de lecturePar Rédaction Sentinelo
En bref
- Produit : TI WooCommerce Wishlist, extension WordPress de liste de souhaits pour boutiques WooCommerce.
- Versions affectées : toutes les versions antérieures à 2.0.7.
- Version corrigée : 2.0.7.
- Sévérité : non précisé par l'éditeur (aucun score CVSS publié au moment de la rédaction) ; il s'agit d'une injection SQL accessible sans authentification.
- CVE : CVE-2026-124647.
- Exploitation active : inconnu.
- Date de l'avis : 12 novembre 2026.
Une vulnérabilité d'injection SQL a été publiée le 12 novembre 2026 dans l'extension WordPress TI WooCommerce Wishlist, sous l'identifiant CVE-2026-124647. Selon la fiche de la base NVD, l'extension ne nettoie pas et n'échappe pas correctement une donnée fournie par l'utilisateur avant de l'utiliser dans une requête SQL, au niveau d'un point d'accès exposé côté public du site. Un visiteur non authentifié peut donc tenter d'agir sur la base de données du site.
La correction est disponible dans la version 2.0.7 de l'extension. À la date de publication de cette alerte, aucun score CVSS n'a été attribué et la faille ne figure pas dans le catalogue des vulnérabilités activement exploitées de la CISA.
Qui est concerné ?
Tous les sites WordPress qui utilisent TI WooCommerce Wishlist dans une version antérieure à 2.0.7. D'après sa fiche sur le répertoire officiel WordPress.org, l'extension compte environ cent mille installations actives.
Le risque est plus élevé qu'avec une faille réservée aux administrateurs : aucune connexion n'est nécessaire pour atteindre la partie vulnérable. Une injection SQL peut, selon le contexte, permettre de lire ou de modifier des données stockées en base, comme les comptes clients ou les commandes. Les boutiques WooCommerce, qui conservent des données personnelles de leurs clients, ont donc tout intérêt à traiter cette mise à jour en priorité.
Que faire ?
- Mettre à jour TI WooCommerce Wishlist vers la version 2.0.7 dès que possible, depuis le tableau de bord WordPress ou votre outil de gestion de parc.
- Si la mise à jour ne peut pas être appliquée immédiatement, désactiver temporairement l'extension, en particulier sur les boutiques en production.
- Vérifier les journaux d'accès du serveur et, le cas échéant, du pare-feu applicatif, à la recherche de requêtes inhabituelles visant l'extension.
- Contrôler la liste des comptes administrateurs et les modifications récentes en base de données.
- En cas de compromission avérée, restaurer une sauvegarde saine antérieure à l'incident, appliquer la mise à jour, puis changer les mots de passe et les clés de sécurité de WordPress.
Côté Sentinelo, les contrôles de sécurité des sites WordPress sont croisés avec la base WPScan.
Sources
Questions fréquentes
Quelles versions de TI WooCommerce Wishlist sont vulnérables ?
Toutes les versions antérieures à 2.0.7 sont affectées par la CVE-2026-124647.
La faille concerne-t-elle les visiteurs non connectés ?
Oui. Selon la fiche NVD, l'injection SQL est accessible à des utilisateurs non authentifiés, ce qui rend la mise à jour prioritaire.
La faille est-elle exploitée activement ?
Ce n'est pas connu à ce jour : la vulnérabilité ne figure pas dans le catalogue de la CISA des failles activement exploitées.
Comment se protéger ?
Mettre à jour l'extension vers la version 2.0.7, ou la désactiver en attendant, puis vérifier les journaux d'accès du site.
Pour aller plus loin
Autres alertes
Gardez une longueur d’avance sur les failles de votre parc.
Scanner mon site