WooCommerce demande aux boutiques de mettre à jour Stripe Gateway vers la version 11.2.0 après des correctifs de sécurité

Ce que WooCommerce a corrigé dans Stripe Gateway

Le 11 novembre 2026, WooCommerce a publié un avis sur le blog développeurs de WooCommerce demandant à toute personne qui exploite, héberge ou assure le support d’une boutique utilisant l’extension WooCommerce Stripe Gateway (également référencée sous le nom Stripe for WooCommerce) de la mettre à jour vers la version 11.2.0. Les boutiques qui doivent rester sur la branche 11.1.x doivent passer à la 11.1.2.

Selon WooCommerce, les failles ont été découvertes grâce aux analyses internes d’Automattic et à des signalements reçus. La plus importante pouvait permettre des achats frauduleux. WooCommerce n’a aucune preuve qu’une seule d’entre elles ait été exploitée, et l’avis ne détaille pas davantage les différentes failles.

L’avis porte aussi sur un bug antérieur de la version 10.9.0 qui, dans certaines conditions, enregistrait en clair, avec la commande, le mot de passe choisi par le client lors de son inscription. La version 10.9.1 a mis fin à ce problème, et depuis la 11.1.0 l’extension supprime ces mots de passe stockés en arrière-plan.

Quelles boutiques doivent agir

Toute boutique qui encaisse des paiements via cette extension doit la mettre à jour. Les achats frauduleux sont une perte directe pour la boutique, et WooCommerce a appliqué les correctifs aux deux branches pour que les marchands puissent garder des boutiques stables pendant la période de fin d’année. Les boutiques qui n’utilisent pas cette extension ne sont pas concernées par cet avis.

Le bug des mots de passe est plus circonscrit. Il ne concernait que les boutiques qui ont fonctionné sous la version 10.9.0, utilisaient le tunnel de commande classique avec les boutons Express Checkout de Stripe affichés à cette étape, et dont des clients ont créé un compte avec mot de passe puis payé avec Apple Pay ou Google Pay. Ces mots de passe étaient visibles par les administrateurs et les gestionnaires de boutique, ainsi que via les outils qui exposent les données de commande, comme la REST API. WooCommerce ne peut pas savoir si quelqu’un les a consultés. Le nettoyage ne réinitialise le mot de passe d’aucun client ; s’il supprime des données stockées, il affiche une notification dans l’administration WordPress et envoie un e-mail à l’administrateur du site.

Les versions 11.2.0 et 11.1.2 nécessitent toutes deux WordPress 6.9 et WooCommerce 11.0 : sur les sites plus anciens, il faudra peut-être d’abord mettre ces derniers à jour.

Ce qu’il faut vérifier dès maintenant

WooCommerce recommande de faire la mise à jour sans attendre la prochaine fenêtre de maintenance habituelle.

• Dans l’administration WordPress, ouvrez Extensions, puis Extensions installées, et vérifiez la version de Stripe Gateway, même si les mises à jour automatiques sont activées ou si votre hébergeur gère les mises à jour.
• Passez à la version 11.2.0 ou ultérieure. Pour rester sur la 11.1.x, téléchargez la 11.1.2 depuis la section Previous Versions du répertoire d’extensions de WordPress.org et téléversez-la à la place de la version actuelle.
• Si votre boutique remplissait les conditions liées à la version 10.9.0, recherchez les mots de passe stockés dans les sauvegardes, les fichiers de commandes exportés et tout service qui copie vos commandes ailleurs, et envisagez de demander aux clients concernés de réinitialiser le leur.
• Si vous gérez plusieurs boutiques, vérifiez chacune d’elles, y compris les sites de préproduction et de développement accessibles publiquement.
• Si la mise à jour échoue, contactez le support WooCommerce en indiquant votre version installée et le message d’erreur affiché.

Si un hébergeur ou un développeur s’occupe de la boutique, confirmez avec lui la version installée et vérifiez si votre contrat de maintenance couvre les mises à jour de sécurité comme celle-ci. Le service Support et maintenance continus de Cognivise prend en charge l’application des correctifs aux boutiques lorsque personne d’autre n’en a clairement la responsabilité.