La faille WooCommerce Wishlist touche une extension de boutique en ligne pour WordPress et pèse 9,1 sur 10 selon la fiche NVD. Si votre site de vente l’utilise, nous recommandons de la faire repérer, puis corriger ou retirer par votre prestataire informatique, après une sauvegarde vérifiée.
C’est quoi ?
Un visiteur sans compte peut modifier certains réglages de votre site et le rendre inutilisable.
La National Vulnerability Database du NIST la référence sous CVE-2026-124763. La faille se situe dans une extension, c’est-à-dire un module ajouté à un site WordPress pour lui donner une fonction de plus, ici une liste de souhaits pour les clients. Selon la fiche NVD, une commande de cette extension accepte les demandes de n’importe quel visiteur, sans vérifier qui la lance ni d’où elle vient. C’est la porte de garage laissée ouverte pour la fin de semaine : les serrures de la maison sont bonnes, mais une entrée a été oubliée. La fiche décrit le résultat possible : un changement de l’adresse du site ou la désactivation d’extensions, donc une boutique qui ne répond plus.
Pourquoi c’est grave ?
9,1 sur 10 selon la fiche NVD, et aucune exploitation signalée à ce jour dans cette fiche.
Ce 9,1 a été attribué par l’organisme déclarant (CNA) selon la fiche NVD, sur l’échelle CVSS 3.1 qui note la gravité technique de 0 à 10. Rien n’indique d’attaque pour l’instant, et nous y voyons une occasion à saisir sans attendre. Le risque d’affaires n’est pas le vol spectaculaire, c’est l’arrêt : commandes qui ne rentrent plus, clients devant une page d’erreur, journée perdue à remettre le site debout.
Ça touche qui ?
Les boutiques WordPress équipées de WooCommerce Wishlist, dans toutes les versions jusqu’à la 1.1.0 incluse.
Le produit visé est l’extension WooCommerce Wishlist pour WordPress, versions 1.1.0 et antérieures. L’éditeur n’est pas précisé par la fiche NVD, et aucune version corrigée n’y est indiquée : cette information manque, et elle change la marche à suivre. Nous invitons toute organisation qui exploite une boutique WordPress à vérifier la présence de cette extension, sans présumer de sa taille.
Comment vérifier dans mon entreprise ?
Savoir si l’extension est installée, dans quelle version, et si une sauvegarde se restaure vraiment.
- Faire ouvrir le tableau de bord WordPress, section Extensions, pour voir si WooCommerce Wishlist est présent et quelle version est active (prestataire informatique).
- Demander si une version corrigée existe et la faire installer dès sa parution (développeur du site ou fournisseur du logiciel).
- Faire confirmer qu’une sauvegarde complète existe et qu’un essai de restauration a déjà réussi (direction).
- Demander si un pare-feu applicatif, soit un filtre placé devant le site, et les mises à jour automatiques sont en place (hébergeur).
Mise en situation
Exemple fictif : un garage indépendant qui vend pneus et accessoires sur son site WordPress.
Vendredi matin, le site affiche une erreur. Le catalogue ne s’ouvre plus et le formulaire de rendez-vous reste muet. Le prestataire rappelle en fin de matinée, constate que des réglages ont changé, puis cherche une sauvegarde : la dernière date de plusieurs semaines. La journée se passe au téléphone plutôt qu’à l’atelier, et il faut rappeler les clients qui avaient réservé en ligne.
Quoi faire maintenant
Nous recommandons d’enchaîner ces gestes avec votre prestataire :
- Inventorier les extensions du site et noter leur version.
- Sauvegarder le site complet et vérifier que la sauvegarde se restaure avant toute intervention.
- Retirer l’extension si la liste de souhaits n’est pas essentielle à vos ventes.
- Installer la version corrigée dès sa parution, en gardant le lien avec l’hébergeur.
Ce que la faille WooCommerce Wishlist change pour une PME d’ici
Pour une entreprise du Québec, l’enjeu se mesure en capacité de vendre lundi matin. Une boutique conserve aussi des renseignements personnels. La Loi sur la protection des renseignements personnels dans le secteur privé impose un registre des incidents de confidentialité. Elle impose aussi un avis à la Commission d’accès à l’information lorsque le risque de préjudice sérieux existe. Les contrôles de base du Centre canadien pour la cybersécurité nomment les mêmes gestes : inventaire, mises à jour, sauvegardes testées. Nous le disons sans détour : il n’existe pas de protection absolue, et aucun prestataire ne peut garantir un risque zéro, mais ces gestes réduisent fortement l’exposition.
FAQ
Faut-il fermer le site en attendant ?
Pas forcément. Commencez par savoir si l’extension est présente et active. Si elle l’est et qu’aucune version corrigée n’est publiée, nous conseillons de la retirer plutôt que d’attendre, après une sauvegarde vérifiée.
Aucune attaque n’est signalée : pourquoi agir tout de suite ?
La fiche NVD ne signale aucune exploitation à ce jour, et nous préférons intervenir pendant cette fenêtre. Une correction planifiée se prépare : sauvegarde vérifiée, essai de restauration, intervention au moment qui vous convient. Après un incident, les mêmes étapes se font dans l’urgence, parfois sans sauvegarde récente, et la boutique peut rester indisponible le temps du rétablissement.
Mon entreprise est petite, suis-je vraiment concerné ?
Nous ne pouvons pas répondre à partir de votre taille. La fiche NVD décrit une faille dans une extension : c’est la présence et la version de cette extension sur votre site qui déterminent votre exposition. Les contrôles de base du Centre canadien pour la cybersécurité sont d’ailleurs écrits pour les petites et moyennes organisations.
Sources
- Fiche CVE-2026-124763 de la National Vulnerability Database · NIST, 13 novembre 2026
- Centre canadien pour la cybersécurité : contrôles de cybersécurité de base pour les petites et moyennes organisations · liste de contrôles de référence
- Loi sur la protection des renseignements personnels dans le secteur privé (RLRQ, c. P-39.1) · texte officiel à jour
Source : NVD (NIST) · https://nvd.nist.gov/vuln/detail/CVE-2026-124763
Article préparé par la veille de RISS Canada à partir des sources publiques citées ci-dessus, avec l’aide d’outils d’intelligence artificielle, puis contrôlé selon notre charte éditoriale.
