WooCommerce : condition de concurrence jusqu'à la 11.2.2, version corrigée non précisée

En bref

• Produit : WooCommerce (extension WordPress éditée par Automattic)
• Versions affectées : de la 11.0.0 à la 11.2.2 incluse
• Version corrigée : non précisé par l'éditeur
• Sévérité : moyenne, score CVSS 6.5
• CVE : CVE-2026-125801
• Exploitation active : inconnu
• Date de l'avis : 13 novembre 2026

Une vulnérabilité de type condition de concurrence (en anglais « race condition ») a été publiée le 13 novembre 2026 dans la base NVD pour l'extension WooCommerce. Elle porte l'identifiant CVE-2026-125801 et concerne les versions 11.0.0 à 11.2.2.

Une condition de concurrence survient lorsqu'un logiciel exécute plusieurs opérations en parallèle sur une même ressource partagée sans les synchroniser correctement. Selon l'avis, un attaquant peut tirer parti de ce défaut de synchronisation. Sur une boutique en ligne, ce type de faille touche typiquement des traitements qui devraient être exécutés une seule fois ou dans un ordre strict, comme la gestion des commandes, des stocks ou des remises. L'avis ne détaille pas la fonctionnalité précisément concernée ni les conséquences exactes : nous ne les extrapolons pas ici.

Le score CVSS de 6.5 classe la vulnérabilité en sévérité moyenne. Elle n'apparaît pas, à la date de publication de cet article, dans le catalogue des vulnérabilités exploitées de la CISA.

Qui est concerné ?

Sont concernés tous les sites WordPress qui utilisent WooCommerce dans une version comprise entre la 11.0.0 et la 11.2.2. WooCommerce étant l'extension e-commerce la plus répandue de l'écosystème WordPress, le nombre de boutiques potentiellement exposées est important.

Les sites restés sur une branche antérieure à la 11.0.0 ne sont pas cités dans l'avis. Les agences et freelances qui maintiennent plusieurs boutiques ont intérêt à inventorier dès maintenant la version de WooCommerce installée sur chacune d'elles.

Que faire ?

• Vérifier la version de WooCommerce installée depuis le tableau de bord WordPress, dans la liste des extensions.
• Mettre à jour WooCommerce vers la dernière version publiée par l'éditeur. La version corrigée n'étant pas précisée par l'éditeur dans l'avis, consulter le journal des modifications de l'extension et l'avis Patchstack pour confirmer que la version installée n'est plus dans la plage affectée.
• Réaliser une sauvegarde complète (fichiers et base de données) avant la mise à jour, et tester le parcours de commande ensuite.
• Vérifier les journaux du serveur et l'historique récent des commandes, des stocks et des codes promo pour repérer des anomalies, comme des doublons ou des incohérences.
• En cas de compromission avérée, restaurer une sauvegarde saine antérieure à l'incident, puis appliquer la mise à jour avant de remettre la boutique en ligne.

Cet article sera mis à jour si l'éditeur précise la version corrigée ou si une exploitation active est signalée.

Sources

• NVD : CVE-2026-125801 (avis de référence, publié le 13 novembre 2026)
• Patchstack : WooCommerce, condition de concurrence (base de vulnérabilités WordPress)