Une boutique WooCommerce stocke des commandes, des adresses, des téléphones et des comptes clients : chaque faille de l’extension touche donc des données personnelles, parfois sans aucun compte. De la mise à jour forcée de juillet 2021 aux trois failles notées élevées de l’automne 2026, voici ce qui a été trouvé, corrigé et exploité, et les réglages qui limitent le risque.
WooCommerce en bref
WooCommerce est l’extension de commerce électronique la plus installée de WordPress. Publiée par Automattic, qui édite aussi Jetpack, elle est présente dans le répertoire wordpress.org depuis septembre 2011 et affiche plus de 7 millions d’installations actives. Elle gère le catalogue, le panier, la validation de commande, les comptes clients, les e-mails transactionnels et une API REST complète, dont la Store API utilisée par les blocs Panier et Validation de commande.
Ces fonctions publiques sont précisément ce qui en fait une cible : la validation de commande, la création de compte et la Store API sont accessibles sans connexion, et une seule faille peut se rejouer sur des millions de boutiques. Le rôle Gérant de boutique, souvent confié à des employés ou des prestataires, est un autre point sensible.
La chronologie des failles de WooCommerce
Le tableau retient les failles significatives : notées élevées, exploitables sans compte, exploitées ou corrigées par une vague de versions. Les dates sont celles de la première publication par WooCommerce, WPScan ou Patchstack. Les notes CVSS v3.1 sont celles de l’autorité du CVE ; quand WPScan diffère, les deux sont indiquées.
| Publication | Corrigée en | Type | CVSS | CVE | Compte requis | Exploitation |
|---|---|---|---|---|---|---|
| 5 novembre 2020 | 4.6.2 | Création de comptes à la commande malgré le réglage | 6,3 (WPScan) | Aucun | Aucun | Oui, par des robots (WooCommerce) |
| 15 juillet 2021 | 5.5.1 et plus de 90 versions (touchées : 3.3 à 5.5, et WooCommerce Blocks 2.5 à 5.5) | Injection SQL via la Store API | 7,5 | CVE-2021-32789 | Aucun | « Limitée » selon WooCommerce ; signalée par WPScan |
| 15 juillet 2021 | 5.5.1 (touchées : 3.3 à 5.5) | Injection SQL aveugle via les webhooks | 4,9 ; 7,2 (WPScan) | CVE-2021-32790 | Administrateur ou clés d’API | Non documentée |
| 22 février 2022 | 6.2.1 | Suppression d’avis, commentaires et notes de commande | 4,3 | CVE-2022-0775 | Abonné | Non documentée |
| 10 mars 2022 | 6.3.1 | Commandes marquées payées via PayPal Standard | 3,7 (WPScan) | Aucun | Aucun | Non documentée |
| 10 juin 2024 | 8.8.5 et 8.9.3 (touchées : 8.8.0 à 8.9.2) | XSS réfléchie via Order Attribution | 5,4 ; 7,1 (WPScan) | CVE-2024-37297 | Aucun (clic de la victime) | Non documentée |
| 14 octobre 2024 | 9.1.0 | Injection HTML dans les commandes affichées à l’administrateur | 5,3 | CVE-2024-9944 | Aucun | Non documentée |
| 3 décembre 2024 | 9.4.3 | XSS via postMessage | 7,1 (WPScan) | Aucun | Aucun (clic de la victime) | Non documentée |
| 3 décembre 2024 | 9.4.3 | Création de commandes malgré la commande invité désactivée | 5,3 (WPScan) | Aucun | Aucun | Non documentée |
| 22 décembre 2025 | 10.4.3 et versions correctives depuis 8.1.3 (touchées : 8.1 à 10.4.2) | Lecture des commandes d’invités via la Store API | 6,5 | CVE-2025-15033 | Client | Aucune preuve (WooCommerce) |
| 2 mars 2026 | 10.5.3 et 52 branches (touchées : 5.4 à 10.5.2) | CSRF permettant de créer un administrateur | 7,5 | CVE-2026-3589 | Aucun (administrateur connecté qui clique) | Aucune preuve (WooCommerce) |
| 4 septembre 2026 | 11.0 | Injection SQL aveugle | 7,6 ; 6,8 (WPScan) | CVE-2026-57777 | Gérant de boutique | Non documentée |
| 7 septembre 2026 | 11.1.0 | Déni de service | 7,5 | CVE-2026-48888 | Aucun | Non documentée |
| 8 octobre 2026 | 11.2.0 (touchées : 9.8.0 à 11.1.2) | Élévation de privilèges vers administrateur | 7,2 | CVE-2026-106608 | Gérant de boutique | Non documentée |
Le reste se compose de failles de gravité faible ou moyenne, presque toujours réservées à un compte. En 2020, une fuite du statut de commandes (CVE-2020-29156) et deux XSS ; en 2021, une XSS d’administrateur et une fuite de rapports d’analyse ; en 2022, une traversée de chemin dans les importeurs et une injection HTML. En 2023 : quatre expositions d’informations (corrigées en 7.0.1, 7.9 et 8.1.1) et une XSS stockée par contributeur, commune à WooCommerce et WooCommerce Blocks (CVE-2023-47777). En 2024, deux CSRF, une XSS réfléchie, un accès aux produits privés et des XSS de gérant ; en 2025, deux XSS et une injection SQL de gérant (corrigée en 9.9.4) et une fuite de données en multisite.
Enfin, en juin 2026, VulnCheck a noté 9,8 un CVE (CVE-2022-50972) tiré d’une ancienne publication Exploit-DB sur WooCommerce 7.1.0. Absent des listes de WPScan et de Patchstack et non confirmé par l’éditeur, il n’est pas retenu ici.
Les failles marquantes expliquées
Novembre 2020 : des robots créent des comptes malgré le réglage
Avant la version 4.6.2, WooCommerce acceptait le paramètre createaccount envoyé à la validation de commande même quand la création de compte était désactivée. Dans son avis du 5 novembre 2020, WooCommerce indique qu’un robot exploitait ce défaut pour créer des commandes et des comptes en masse, dans le but d’obtenir un accès authentifié et de sonder d’autres extensions vulnérables réservées aux utilisateurs connectés. WooCommerce 4.6.2 et WooCommerce Blocks 3.7.1 respectent de nouveau le réglage ; l’éditeur recommandait de supprimer les comptes créés par le robot.
Juillet 2021 : l’injection SQL qui a déclenché une mise à jour forcée
Le 13 juillet 2021, un chercheur nommé Josh signale via le programme HackerOne d’Automattic une injection SQL dans la Store API. Une adresse forgée vers le point d’accès wc/store/products/collection-data permettait à un visiteur anonyme d’exécuter une requête SQL en lecture : commandes, clients et données d’administration pouvaient fuiter selon ce que stockait la boutique. La faille touchait WooCommerce 3.3 à 5.5 et l’extension WooCommerce Blocks 2.5 à 5.5 ; une seconde injection, réservée aux administrateurs ou aux détenteurs de clés d’API, visait la recherche des webhooks. WPScan relève que la cause commune était l’usage de sanitize_text_field, une fonction pensée contre les XSS et non contre les injections SQL.
La réponse a été rapide : correctif publié le 14 juillet, plus de 90 versions corrigées, et le même jour wordpress.org a déployé une mise à jour de sécurité automatique vers les boutiques concernées, comme l’a confirmé l’équipe WooCommerce dans les commentaires de son avis. WPScan précise que ces mises à jour ont été forcées, même là où les mises à jour automatiques étaient désactivées, et qu’elles ne sont jamais efficaces à 100 %. WooCommerce estimait que toute exploitation avait été « limitée » ; WPScan faisait état de signalements de sites compromis. L’éditeur recommandait de changer les mots de passe administrateur et les clés d’API.
2024 : XSS et commandes sans compte
En juin 2024, WooCommerce a publié un avis sur une XSS introduite en 8.8 par la fonction Order Attribution, activée par défaut : des données lues par la bibliothèque Sourcebuster.js étaient insérées sans nettoyage dans les formulaires d’inscription et de validation de commande classique. Un lien piégé suffisait à exécuter du JavaScript dans le navigateur de la victime. Les versions 8.8.5 et 8.9.3 corrigent la faille. En décembre, la version 9.4.3 corrigeait une autre XSS, via des messages postMessage mal vérifiés, et un défaut qui permettait de créer des commandes sans compte même quand la commande en tant qu’invité était désactivée.
Décembre 2025 et mars 2026 : deux failles de la Store API, corrigées sur des dizaines de branches
Le 22 décembre 2025, WooCommerce annonçait qu’un client connecté pouvait lire les commandes passées par des invités, via la Store API, sur les versions 8.1 à 10.4.2 : noms, e-mails, téléphones, adresses, moyens de paiement utilisés et articles, mais pas les numéros de carte. Signalée par Man Yue Mo et Peter Stöckli (GitHub Security Lab) via le programme de primes d’Automattic, la faille (CVE-2025-15033) a été corrigée en 10.4.3 et par des versions correctives jusqu’à la branche 8.1. Automattic a travaillé avec l’équipe des extensions de wordpress.org pour mettre à jour automatiquement les sites touchés.
Le 2 mars 2026, nouvelle alerte : le point d’accès « batch » de la Store API ne limitait pas les requêtes aux routes de la Store API. Un attaquant pouvait faire exécuter, par un administrateur connecté qui ouvrait un lien piégé, des appels à d’autres routes REST, jusqu’à créer un compte administrateur (CVE-2026-3589). WooCommerce précise que l’attaque ne fonctionnait que dans des conditions de navigateur particulières (navigateur autre que Chrome, ou ancienne version de Chrome avec une option activée). Les versions 5.4 à 10.5.2 étaient touchées ; 52 versions correctives ont été publiées, avec le même déploiement automatique. Dans les deux cas, WooCommerce déclarait n’avoir aucune preuve d’exploitation en dehors de ses propres tests.
Automne 2026 : trois failles notées élevées en cinq semaines
Les trois dernières failles ont été trouvées par Ananda Dhakal (Patchstack). Une injection SQL aveugle accessible au rôle Gérant de boutique, publiée le 4 septembre 2026, était déjà corrigée par WooCommerce 11.0 sorti le 4 août. Un déni de service exploitable sans compte, lié à une allocation de ressources sans limite, a été corrigé en 11.1.0 le 3 septembre et publié quelques jours plus tard. Enfin, le 8 octobre, Patchstack publiait une élévation de privilèges permettant à un gérant de boutique de devenir administrateur sur les versions 9.8.0 à 11.1.2, corrigée la veille par WooCommerce 11.2.0.
WooCommerce Payments : une extension distincte
La faille la plus exploitée de l’écosystème ne visait pas WooCommerce lui-même mais WooCommerce Payments : CVE-2023-28121, corrigée en mars 2023, permettait de se faire passer pour un administrateur avec un simple en-tête HTTP, et a été exploitée massivement en juillet 2023. Nous l’avons détaillée dans notre article consacré à CVE-2023-28121.
Ce que montre l’historique de WooCommerce
- La Store API est le point chaud. L’injection SQL de 2021, les fuites de commandes de 2025 et la CSRF de 2026 passent toutes par cette API publique utilisée par les blocs Panier et Validation de commande. Voir notre article sur la sécurité de l’API REST.
- Le rôle Gérant de boutique est une cible. Injection SQL, XSS et élévation de privilèges : ce rôle, donné à des personnes qui ne sont pas administrateurs, est devenu une porte d’entrée. Appliquez le principe du moindre privilège.
- Les XSS restent le type le plus fréquent, comme partout dans l’écosystème (voir notre article sur les failles XSS).
- Les correctifs graves sont rétroportés et poussés. En 2021, wordpress.org a forcé la mise à jour ; en 2025 et 2026, Automattic a publié des dizaines de versions correctives avec l’équipe des extensions de wordpress.org et les a déployées automatiquement sur les sites qui l’acceptaient. Les failles moins graves, elles, ne sont corrigées que dans la dernière version : en 2022, l’équipe indiquait ne pas corriger les branches 4.x et 5.x.
- Peu d’exploitations documentées pour l’extension elle-même (2020 et 2021), mais un volume élevé : WPScan recense 11 failles pour la seule année 2024.
WooCommerce n’est pas une exception : les failles d’extensions se comptent par milliers chaque année, et le cœur de WordPress a lui aussi son historique, retracé dans notre chronologie des failles du cœur.
Se protéger
- Mettez à jour. Au 11 octobre 2026, la version à atteindre est 11.2.0 ou ultérieure ; sur une branche plus ancienne, vérifiez qu’une version corrective existe pour chaque faille, ce qui n’est pas toujours le cas.
- Activez les mises à jour automatiques au moins pour les versions de sécurité : c’est ce qui a permis les déploiements de 2025 et 2026. Notre guide des mises à jour automatiques des extensions explique comment les encadrer.
- Limitez les comptes Gérant de boutique et revoyez régulièrement la liste des administrateurs. Désactivez la création de compte et la commande en tant qu’invité si votre boutique n’en a pas besoin.
- Supprimez les extensions WooCommerce inutilisées (passerelles, modules complémentaires) : une extension inutile reste une surface d’attaque.
- Ajoutez un pare-feu applicatif capable de patch virtuel et de limiter le débit de la Store API : notre comparatif des WAF. Pour le paiement, la fraude à la carte et les comptes clients, voir notre guide de sécurité d’une boutique WooCommerce.
- Surveillez les failles publiées pour WooCommerce et ses extensions : méthode et outils.
WP Masquerade Pro aide sur ce dernier point. Chaque jour, il compare les versions installées sur vos sites avec la base publique WPVulnerability.net et vous envoie une alerte par e-mail avec la gravité et la version corrigée. L’espace membre liste aussi les mises à jour en attente et les sites vulnérables. Il alerte, il ne corrige pas et n’est pas un pare-feu : la mise à jour reste à faire de votre côté. Pour les autres briques de protection, voir notre sélection d’extensions de sécurité.
À retenir
- WPScan recense 36 failles de l’extension WooCommerce du 1er janvier 2020 au 11 octobre 2026, dont 6 notées élevées et aucune critique.
- Deux exploitations documentées : la création de comptes par des robots en 2020 et l’injection SQL de juillet 2021, qui a déclenché une mise à jour forcée par wordpress.org.
- La Store API et le rôle Gérant de boutique concentrent les failles récentes.
- Version à atteindre au 11 octobre 2026 : 11.2.0 ou ultérieure.
- WooCommerce Payments est une extension distincte, avec sa propre faille majeure de 2023.
Sources
- CVE : CVE-2021-32789, injection SQL via la Store API (26 juillet 2021) (lien externe, nouvel onglet)
- WooCommerce Developer Blog : WooCommerce 6.2.1 Security Fix (22 février 2022) (lien externe, nouvel onglet)
- CVE : CVE-2026-3589, WooCommerce avant 10.5.3, création d’administrateur par CSRF (6 mars 2026) (lien externe, nouvel onglet)
- WordPress.org : page de l’extension WooCommerce (installations actives) (lien externe, nouvel onglet)
Autres sources consultées : autres fiches CVE, pages officielles des éditeurs, articles de la presse spécialisée, bases WPScan et Patchstack.
