CVE-2026-3589

Description

The WooCommerce WordPress plugin from versions 5.4.0 to 10.5.2 does not properly handle batch requests, which could allow unauthenticated users to make a logged in admin call non store/WC REST endpoints, and create arbitrary admin users via a CSRF attack for example.

Gravité et risque d'exploitation

CVE-2026-3589 obtient un score CVSS de 7.5/10, soit une gravité élevée. Selon le modèle EPSS, la probabilité qu'elle soit exploitée dans les 30 prochains jours est de 0.19 %, ce qui la place devant 8.1 % des CVE référencées.

Que faire ?

• Vérifiez si WooCommerce (versions <6.8.3, <8.4.3, <7.5.2, <8.5.5, <8.3.4, 10.5.0, 6.7.0, <10.4.4, 8.1.0, <9.4.5, <6.2.3, <7.1.2, 7.9.0, 7.2.0, 9.1.0, <6.7.1, <8.9.5, 8.9.0, <7.3.1, 6.8.0, 8.6.0, 8.4.0, <8.2.5, 10.4.0, 6.1.0, <8.1.4, 9.5.0, <9.6.4, 7.6.0, 10.3.0, 6.9.0, 6.5.0, <5.6.3, 6.2.0, <6.3.2, <9.3.6, 9.2.0, <9.0.4, 9.6.0, <7.7.3, <8.8.7, 8.3.0, 8.2.0, <9.5.4, <6.0.2, <10.5.3, 6.3.0, <7.9.2, 9.7.0, <7.0.2, <5.9.2, 7.5.0, 9.9.0, 10.1.0, 7.3.0, <6.9.5, <8.0.5, 10.2.0, <6.4.2, <6.6.2, 10.0.0, 5.5.0, 9.0.0, <5.4.4, 5.7.0, 5.6.0, <7.4.2, <10.0.6, <9.8.7, <9.1.7, <5.8.2, <9.2.5, <10.1.4, <10.2.4, 7.7.0, <10.3.8, 6.4.0, <7.2.4, <9.7.3, 5.9.0, 8.8.0, 5.4.0, <7.8.4, 9.3.0, 9.4.0, <5.4.5, 9.8.0, 7.4.0, <7.6.2, 7.1.0, 5.8.0, 8.5.0, 8.7.0, <6.1.3, <8.6.4, 8.0.0, 7.0.0, <9.9.7, <5.7.3, <6.5.2, 7.8.0, <8.7.3, 6.0.0, 6.6.0) est présent sur votre parc.
• Appliquez le correctif ou la version corrigée indiqués dans les références de l'éditeur.
• À défaut de correctif, limitez l'exposition (filtrage réseau, désactivation du composant).
• Automatisez la détection : les agents CVE Heimdall (gratuits, open source) corrèlent l'inventaire de vos serveurs avec la base CVE.

Références

• https://wpscan.com/vulnerability/53ded097-274d-4850-82ee-620bf02f7553/
• https://developer.woocommerce.com/2026/03/02/store-api-vulnerability-patched-in-woocommerce-5-4/