L’extension PDF Invoice for WooCommerce + Drag and Drop Template Builder, éditée par addonsorg, contient une faille que la fiche NVD note 9,8 sur 10. Si votre boutique en ligne l’utilise dans une version égale ou inférieure à 7.1.1, sauvegardez, puis mettez l’extension à jour ou désactivez-la temporairement. Une réserve accompagne cette recommandation: les éléments dont nous disposons n’indiquent aucune version corrigée, à confirmer auprès de l’éditeur.
C’est quoi ?
Le logiciel qui fabrique les factures PDF de votre boutique accepte sans vérification suffisante du texte saisi par un visiteur, et ce texte peut être traité comme une consigne par le serveur.
Une extension est un logiciel ajouté à un site WordPress pour lui donner une fonction de plus, ici produire les factures en PDF. Selon la fiche NVD, un champ de texte libre rempli lors d’une commande n’est pas assez filtré avant d’être repris dans la facture: son contenu peut alors amener le serveur, l’ordinateur qui héberge votre site, à exécuter des instructions venues de l’extérieur.
C’est un peu le chalet qu’on ferme pour l’hiver en laissant la clé sous le paillasson: tout a l’air verrouillé, mais quiconque connaît l’habitude entre sans forcer. Ici, pas besoin de compte ni de mot de passe. La fiche NVD indique qu’une installation par défaut suffit et que l’attaquant n’a pas à être authentifié, c’est-à-dire reconnu par le site.
Pourquoi c’est grave ?
Exécuter du code sur le serveur revient à prendre la main sur la boutique: site, historique des commandes et renseignements des clients deviennent accessibles.
La fiche NVD rapporte un score CVSS 3.1 de 9,8 sur 10, attribué par l’organisme déclarant (CNA). Le CVSS est l’échelle internationale de gravité, et 9,8 se situe tout en haut. La faille a été publiée le 31 octobre 2026; aucune exploitation n’est signalée dans la fiche NVD à la date de consultation. La facilité d’accès décrite suffit à justifier une action rapide.
En termes d’affaires: site hors service, commandes interrompues, coordonnées de clients possiblement exposées. Pour une organisation du Québec, une fuite de renseignements personnels déclenche des obligations précises. Parmi elles: tenir un registre des incidents de confidentialité et, lorsque le risque de préjudice sérieux est établi, notifier la Commission d’accès à l’information et les personnes touchées.
Ça touche qui ?
Les sites WordPress qui vendent avec WooCommerce et utilisent cette extension de factures PDF dans une version allant jusqu’à 7.1.1 incluse.
La fiche NVD ne précise pas de version corrigée: l’éditeur addonsorg ou la page officielle de l’extension sur WordPress.org peuvent le confirmer. Dans la pratique, on parle de détaillants et de garages qui vendent des pièces en ligne. S’ajoutent les producteurs qui vendent une partie de leur récolte en ligne, les cliniques et les commerces de quartier.
Comment vérifier dans mon entreprise ?
La liste des extensions, dans le tableau de bord du site, indique si elle est présente et dans quelle version.
- Demander au prestataire informatique d’ouvrir la liste des extensions et de relever la version installée.
- Faire confirmer par l’éditeur quelle version corrige la faille, puisque la fiche NVD ne la donne pas.
- Demander à l’hébergeur de conserver et d’examiner les journaux du site, à la recherche d’activités inhabituelles depuis le 31 octobre 2026.
- Faire valider qu’une sauvegarde complète du site et de sa base de données existe et a déjà été testée.
Un peu de vocabulaire: les journaux du site sont le registre que le serveur tient tout seul (qui est venu, quand, et quoi); la base de données est l’armoire où le site range produits, commandes et comptes clients.
Mise en situation
Exemple fictif: un garage de région qui vend des pièces en ligne n’a pas fait la mise à jour.
Le lundi matin, le site ne répond plus et les factures ne sortent plus. Le développeur web constate que le serveur a été modifié; la boutique reste fermée le temps de restaurer une sauvegarde et de changer les accès. Le comptoir travaille sur papier, les commandes de la fin de semaine sont à ressaisir, et des coordonnées de clients ont peut-être été consultées.
Quoi faire maintenant
- Sauvegarder le site et sa base de données, puis vérifier que la sauvegarde est restaurable.
- Relever la version de l’extension et la comparer au seuil de 7.1.1 indiqué par la fiche NVD.
- Mettre à jour vers la version corrigée une fois confirmée par l’éditeur, ou désactiver l’extension et prévoir une façon provisoire d’émettre les factures.
- Mettre à jour les autres extensions, renforcer les mots de passe d’administration, puis consigner la vérification et sa date dans vos registres internes.
FAQ
Faut-il fermer la boutique en attendant?
Cette décision se valide avec le responsable du site plutôt qu’elle ne se présume. Désactiver l’extension de facturation retire la fonction en cause, mais l’effet sur le reste de la vente en ligne dépend de votre installation: c’est ce qu’il faut faire vérifier, en prévoyant comment facturer entre-temps.
Comment savoir si nous avons déjà été visés?
L’examen des journaux du site et du serveur est la principale piste, s’ils sont encore disponibles. Il peut faire ressortir des activités inhabituelles sans toujours permettre de conclure: des journaux incomplets ou effacés ne tranchent ni dans un sens ni dans l’autre. Aucune exploitation n’est signalée dans la fiche NVD à ce jour.
Sommes-nous trop petits pour intéresser quelqu’un?
Non. Les sites vulnérables sont repérés automatiquement, sans égard au chiffre d’affaires ni au secteur: une boutique de quartier et une entreprise nationale se ressemblent dans un balayage. La mise à jour réduit fortement l’exposition sans régler tout le reste, et il n’existe pas de protection absolue: méfiez-vous des discours qui promettent un risque zéro.
Sources
- Fiche CVE-2026-109220 de la National Vulnerability Database · NIST, 31 octobre 2026
- Centre canadien pour la cybersécurité : contrôles de cybersécurité de base pour les petites et moyennes organisations · liste de contrôles de référence
- Commission d’accès à l’information du Québec · obligations, registre des incidents et notification
Source : NVD (NIST) · https://nvd.nist.gov/vuln/detail/CVE-2026-109220
Article préparé par la veille de RISS Canada à partir des sources publiques citées ci-dessus, avec l’aide d’outils d’intelligence artificielle, puis contrôlé selon notre charte éditoriale.
