Veille sécurité du 31 octobre 2026

Recherche du sujet effectuée

Niveau relevé : Élevée

Un avis concernant la bibliothèque Shopify `shopify_app` a été publié pendant la période : CVE-2026-63414 décrit un risque de confusion du contexte de boutique pour certaines applications utilisant token-exchange. La version corrective indiquée est 23.0.3.

• CVE-2026-63414Élevée

  Shopify App — confusion du contexte de boutique dans l’authentification token-exchange

  Dans certaines applications Shopify utilisant l’authentification token-exchange, le contexte de boutique peut provenir du paramètre de requête `shop` plutôt que de l’identité authentifiée, ce qui peut permettre un accès ou des actions non autorisés sur une autre boutique. Le problème concerne `shopify_app` de 22.1.0 à toute version antérieure à 23.0.3; mettez à niveau et ne fondez pas l’autorisation ou l’accès aux données sur un contexte de boutique fourni par la requête.

  Action recommandée : Mettre à niveau `shopify_app` vers la version 23.0.3 ou ultérieure; vérifier que les décisions d’autorisation et l’accès aux données de boutique reposent sur l’identité authentifiée.

  Lire la fiche →Source : Fiche NVD CVE-2026-63414 ↗

Recherche du sujet effectuée

Niveau relevé : Élevée

Trois avis GraphQL correspondent à la période après conversion des horodatages UTC vers le fuseau demandé (+02:00) : deux vulnérabilités de Coop publiées le 31 octobre localement et un avis de déni de service concernant graphql-core, également publié le 31 octobre localement.

• CVE-2026-63396Élevée

  Coop : divulgation de données par l’API GraphQL

  Avant la version 1.0.0, un acteur non authentifié pouvait interroger `Query.allOrgs` sur une instance Coop publiquement accessible et obtenir des données d’organisations et d’utilisateurs. Mettre à niveau Coop vers la version 1.0.0 ou restreindre l’accès à l’API GraphQL à un réseau privé authentifié.

  Action recommandée : Mettre à niveau vers Coop 1.0.0 ou ultérieure et limiter l’accès réseau à l’API GraphQL.

  Lire la fiche →Source : NVD — CVE-2026-63396 ↗
• CVE-2026-119286Élevée

  GraphQL-core : déni de service par fuite mémoire lors de validations interrompues

  GraphQL-core peut subir un déni de service par épuisement mémoire lorsque des validations dépassant `max_errors` sont répétées. La version 3.3.1 corrige le problème en évitant de réutiliser l’exception avec sa trace; à défaut, l’avis décrit un contournement consistant à effacer sa trace après validation.

  Action recommandée : Mettre à niveau graphql-core vers 3.3.1 ou une version ultérieure corrigée.

  Lire la fiche →Source : GHSA-mpqx-q82w-9×46 — GraphQL-core has denial of service via memory leak in aborted validations ↗
• CVE-2026-63399Moyenne

  Coop : création non authentifiée d’organisations via GraphQL

  Avant la version 1.0.0, la mutation GraphQL `createOrg` permettait à un acteur non authentifié de créer des organisations sur une instance Coop publiquement accessible. Mettre à niveau vers la version 1.0.0 ou restreindre l’accès à l’API GraphQL à un réseau privé authentifié.

  Action recommandée : Mettre à niveau vers Coop 1.0.0 ou ultérieure et limiter l’accès réseau à l’API GraphQL.

  Lire la fiche →Source : NVD — CVE-2026-63399 ↗

Vérification incomplète

Niveau relevé : Critique

La recherche web a fait ressortir dix publications NVD datées dans la période retenue et concernant des extensions WooCommerce : elles portent notamment sur des XSS, l’altération d’états de commande, l’exposition de factures, l’injection SQL ou PHP et des défauts d’autorisation. Les horodatages de mise à jour postérieurs au 1er novembre n’ont pas été traités comme des événements de la période ; les correctifs non établis à cette borne restent non renseignés. Trois fiches NVD publiées pendant la période décrivent des vulnérabilités touchant des extensions WooCommerce : deux XSS et une réutilisation de jeton d’activation pouvant exposer des données de commande. Les informations fournies ne précisent pas de versions corrigées.

• CVE-2026-109220Critique

  Injection d’objet PHP dans PDF Invoice for WooCommerce + Drag and Drop Template Builder

  PDF Invoice for WooCommerce + Drag and Drop Template Builder jusqu’à la version 7.1.1 présente une injection d’objet PHP via `customer_note`, susceptible de permettre l’exécution de code serveur par un attaquant non authentifié. Le chemin vulnérable peut être déclenché sur une installation par défaut lors d’une commande invitée avec certains modes de paiement ; la fiche NVD a été publiée pendant la période.

  Action recommandée : Mettre à jour le plugin dès qu’une version corrigée est disponible ; examiner les commandes et notes client traitées par la génération de factures.

  Lire la fiche →Source : NVD — CVE-2026-109220 ↗
• CVE-2026-111578Élevée

  XSS stockée dans PDF Invoices & Packing Slips for WooCommerce

  Le plugin PDF Invoices & Packing Slips for WooCommerce ne neutralise pas correctement certains champs de commande avant leur insertion dans les factures et bordereaux. Une commande invitée malveillante peut provoquer l’exécution d’un script lorsqu’un administrateur consulte le document ; la version corrigée n’est pas confirmée par les informations disponibles dans la période.

  Action recommandée : Mettre à jour au moins vers la version 5.16.5 et vérifier les documents générés à partir de commandes invitées.

  Lire la fiche →Source : NVD — CVE-2026-111578 ↗
• CVE-2026-107750Élevée

  Contournement d’un correctif XSS dans PDF Invoices & Packing Slips for WooCommerce

  PDF Invoices & Packing Slips for WooCommerce jusqu’à la version 5.16.4 présente une XSS stockée via certaines données de facturation et les notes client, contournant un correctif antérieur par encodage des entités. Un attaquant non authentifié peut injecter du contenu exécuté lorsque la page concernée est consultée ; la fiche NVD a été publiée pendant la période.

  Action recommandée : Mettre à jour le plugin dès qu’une version corrigée est disponible ; examiner les données de facturation et notes client susceptibles de contenir du contenu injecté.

  Lire la fiche →Source : NVD — CVE-2026-107750 ↗
• CVE-2026-119065Élevée

  XSS stockée dans Shipping Zones by Drawing pour WooCommerce

  Shipping Zones by Drawing pour WooCommerce est vulnérable à une XSS stockée via le paramètre de paiement « szbd-picked » dans les versions jusqu’à 3.3.0 incluses. Un client non authentifié peut soumettre une commande invitée forgée; le contenu injecté est rendu dans le lien Google Maps de la vue de commande WooCommerce et peut s’exécuter lorsqu’un administrateur la consulte.

  Action recommandée : Mettre à jour vers une version corrigée confirmée et examiner les commandes récentes comportant des données de zones de livraison anormales.

  Lire la fiche →Source : NVD — CVE-2026-119065 ↗
• CVE-2026-119163Élevée

  Injection SQL dans FunnelKit Automations

  FunnelKit Automations est vulnérable à une injection SQL temporelle via « bwfan_cart_id » dans les versions jusqu’à 3.8.5.2 incluses. Un attaquant non authentifié peut soumettre une valeur lors d’un paiement invité; l’injection est déclenchée ultérieurement par un travail Action Scheduler lors d’un changement d’état de commande indiqué dans l’avis.

  Action recommandée : Mettre à jour vers une version corrigée confirmée ; examiner les commandes invitées et tâches planifiées anormales, ainsi que les journaux de base de données.

  Lire la fiche →Source : NVD — CVE-2026-119163 ↗
• CVE-2026-104926Moyenne

  XSS réfléchie dans WooCommerce Extra Product Options Pro

  WooCommerce Extra Product Options Pro présente une XSS réfléchie via les paramètres `_start` et `_end` jusqu’à la version 3.3.2 incluse. L’exploitation est possible sur une page produit configurée avec un champ Date & Time Range Picker et nécessite d’inciter une victime à suivre un lien piégé.

  Action recommandée : Mettre à jour vers une version corrigée lorsqu’elle est disponible ; examiner les pages produit utilisant le sélecteur de plage de date et d’heure.

  Lire la fiche →Source : NVD — CVE-2026-104926 ↗
• CVE-2026-107711Moyenne

  XSS stockée dans FlexStock

  FlexStock est vulnérable à une XSS stockée via `products[].post_content` jusqu’à la version 3.17.2 incluse. Un utilisateur authentifié ayant le rôle Abonné ou supérieur peut injecter du contenu scripté, en raison notamment d’un contrôle de capacité insuffisant sur l’accès à l’API REST.

  Action recommandée : Mettre à jour vers une version corrigée lorsqu’elle est disponible et limiter les comptes ayant accès au tableau de bord.

  Lire la fiche →Source : NVD — CVE-2026-107711 ↗
• CVE-2026-109231Moyenne

  Réutilisation de jeton et exposition de données dans Germanized for WooCommerce

  Germanized for WooCommerce est vulnérable à une exposition non autorisée de données privées par réutilisation du jeton d’activation, jusqu’à la version 4.1.4 incluse. Le scénario décrit exige une configuration particulière de la double confirmation, l’inscription publique et la réutilisation du jeton dans son délai d’expiration d’un jour.

  Action recommandée : Mettre à jour vers une version corrigée lorsqu’elle est disponible et vérifier les paramètres d’inscription et de double confirmation concernés.

  Lire la fiche →Source : NVD — CVE-2026-109231 ↗
• CVE-2026-94361Moyenne

  Payable Payment Gateway for WooCommerce : modification non autorisée de l’état des commandes

  Payable Payment Gateway for WooCommerce, avant la version 1.3.1, ne vérifie pas l’authenticité des notifications de paiement avant de modifier l’état d’une commande. Un attaquant non authentifié peut faire passer une commande en payée ou en échec, quel que soit le moyen de paiement utilisé.

  Action recommandée : Mettre à jour Payable Payment Gateway for WooCommerce vers la version 1.3.1 ou une version ultérieure.

  Lire la fiche →Source : NVD — CVE-2026-94361 ↗
• CVE-2026-109217Moyenne

  Divulgation de factures dans PDF Invoices & Packing Slips for WooCommerce

  PDF Invoices & Packing Slips for WooCommerce jusqu’à la version 5.16.5 peut divulguer une facture PDF d’un autre client par l’intermédiaire d’une pièce jointe envoyée avec un courriel de commande. L’exploitation dépend de conditions précises liées à la remise à zéro annuelle des numéros de facture et au traitement rapproché de commandes ; la fiche NVD a été publiée pendant la période.

  Action recommandée : Mettre à jour le plugin dès qu’une version corrigée est disponible ; vérifier la configuration de remise à zéro annuelle et les courriels de commande concernés.

  Lire la fiche →Source : NVD — CVE-2026-109217 ↗
• CVE-2026-110251Moyenne

  Suppression non autorisée de fichiers de la médiathèque dans Photo Reviews for WooCommerce

  Photo Reviews for WooCommerce jusqu’à la version 1.2.31 permet la suppression non autorisée de pièces jointes de la médiathèque WordPress, y compris leurs fichiers sur disque. L’attaque peut être non authentifiée et s’appuie sur des identifiants de pièces jointes insérés dans un commentaire d’avis ; la fiche NVD a été publiée pendant la période.

  Action recommandée : Mettre à jour le plugin dès qu’une version corrigée est disponible ; examiner les avis supprimés et les pièces jointes manquantes.

  Lire la fiche →Source : NVD — CVE-2026-110251 ↗
• CVE-2026-11396Moyenne

  Product Filter for WooCommerce : divulgation de produits non publics

  Product Filter for WooCommerce by WBW jusqu’à la version 3.4.6 ne vérifie pas l’autorisation sur une action AJAX publique qui accepte des arguments de requête contrôlés par l’appelant. Un attaquant non authentifié peut ainsi obtenir des informations sur des produits non publics et déclencher des requêtes non bornées.

  Action recommandée : Mettre à jour vers une version corrigée lorsqu’elle sera disponible ; limiter l’exposition du plugin aux visiteurs non authentifiés dans l’intervalle.

  Lire la fiche →Source : NVD — CVE-2026-11396 ↗
• CVE-2026-88942Moyenne

  Product Filter for WooCommerce : XSS réfléchie via wpf_fid

  Product Filter for WooCommerce by WBW jusqu’à la version 3.4.6 présente une XSS réfléchie via la valeur wpf_fid contenue dans un paramètre JSON. Un attaquant non authentifié peut exploiter le défaut en incitant un utilisateur à suivre un lien ou à effectuer une action conduisant à l’affichage de la charge utile.

  Action recommandée : Mettre à jour vers une version corrigée lorsqu’elle sera disponible ; éviter de diffuser des liens non fiables vers les fonctions de filtrage du plugin.

  Lire la fiche →Source : NVD — CVE-2026-88942 ↗

Recherche du sujet effectuée

Niveau relevé : Élevée

Deux événements de sécurité liés à Kubernetes ont été retenus dans la période : une publication concernant le contournement des listes de rejet de Kubewarden policies, et un avis sur l’accès non autorisé aux journaux d’exécution de Kubeflow Pipelines. Les autres candidats ont été écartés faute d’élément établissant une nouvelle vulnérabilité, un correctif ou un changement substantiel dans la période.

• CVE-2026-118759Élevée

  Kubeflow Pipelines : accès non autorisé aux journaux d’exécution

  Le point de terminaison des journaux d’exécution de Kubeflow Pipelines ne vérifie pas que l’appelant est autorisé à lire les journaux de l’exécution visée ; selon les permissions du serveur, il peut aussi retourner les journaux d’un pod sans lien avec cette exécution. L’avis indique que le correctif est disponible dans Kubeflow Pipelines 2.18.0 et recommande, en attendant la mise à niveau, de restreindre l’accès à ce point de terminaison.

  Action recommandée : Mettre à niveau vers Kubeflow Pipelines 2.18.0 ou ultérieur et vérifier que les rôles Kubernetes personnalisés accordent readLog uniquement aux utilisateurs autorisés.

  Lire la fiche →Source : Avis GitHub — GHSA-wg5q-x4j9-qm54 ↗
• CVE-2026-63121Moyenne

  Kubewarden policies : contournement possible des listes de rejet de registres

  Dans Kubewarden policies, trusted-repos-policy compare de façon sensible à la casse les noms d’hôte des registres aux listes de rejet, ce qui peut permettre à une image interdite de passer l’admission avec un nom d’hôte en casse différente. Le problème est corrigé dans la version 2.1.2 ; les configurations en liste d’autorisation ne sont pas concernées par ce contournement, selon les informations fournies pour la CVE.

  Action recommandée : Mettre à niveau Kubewarden policies vers la version 2.1.2 ou ultérieure.

  Lire la fiche →Source : NVD — CVE-2026-63121 ↗

Vérification incomplète

Niveau relevé : Critique

Dix vulnérabilités de plugins WordPress ont des fiches NVD dont l’horodatage de publication tombe dans la période figée. Les horodatages de mise à jour ultérieurs au 2026-11-01T00:00:00+02:00 n’ont pas été utilisés pour attribuer des scores ou des détails supplémentaires ; les niveaux de gravité sont donc indiqués comme inconnus. Les candidats fournis signalent dix vulnérabilités WordPress publiées par le NVD le 2026-10-31, touchant des extensions et WordPress Core. Les dates de mise à jour NVD postérieures à la période n’ont pas été traitées comme de nouveaux événements. Dix fiches NVD relatives à des extensions WordPress ont été publiées le 2026-10-31 dans la période demandée. Elles décrivent notamment des XSS stockées, une divulgation de factures, une injection d’objet PHP, un contournement d’autorisation et une suppression non autorisée de médias ; les sources fournies n’indiquent pas les versions corrigées. Onze nouvelles vulnérabilités de plugins WordPress ont été publiées par le NVD pendant la période : huit XSS stockées, une suppression non autorisée de notes, une injection SQL et une faille IDOR permettant la prise de contrôle d’un compte. Les versions correctives et mesures de contournement ne sont pas indiquées dans les informations fournies. Les candidats retenus sont des publications NVD datées du 2026-10-31 concernant huit vulnérabilités de plugins WordPress. Les informations fournies ne précisent pas de version corrigée pour ces vulnérabilités ; les mises à jour NVD postérieures à la période n’ont pas été utilisées pour qualifier les événements. Les fiches NVD fournies rapportent onze vulnérabilités de plugins WordPress publiées le 2026-10-31 : XSS, exposition de données, contournement d’autorisation, élévation de privilèges et exécution de code. Les hor…

• CVE-2026-109220Critique

  Injection d’objet PHP dans PDF Invoice for WooCommerce + Drag and Drop Template Builder

  PDF Invoice for WooCommerce + Drag and Drop Template Builder jusqu’à la version 7.1.1 présente une injection d’objet PHP via `customer_note`, susceptible de permettre l’exécution de code serveur par un attaquant non authentifié. Le chemin vulnérable peut être déclenché sur une installation par défaut lors d’une commande invitée avec certains modes de paiement ; la fiche NVD a été publiée pendant la période.

  Action recommandée : Mettre à jour le plugin dès qu’une version corrigée est disponible ; examiner les commandes et notes client traitées par la génération de factures.

  Lire la fiche →Source : NVD — CVE-2026-109220 ↗
• CVE-2026-116557Critique

  Suppression non autorisée de notes dans WP Booking System

  WP Booking System – Booking Calendar présente un contrôle de capacité manquant dans la fonction de suppression de notes de calendrier, dans les versions jusqu’à 2.1.0.5 incluses. Un attaquant authentifié disposant au minimum d’un accès Subscriber peut supprimer des notes appartenant à n’importe quel calendrier.

  Lire la fiche →Source : NVD — CVE-2026-116557 ↗
• CVE-2026-89270Critique

  Popup Builder : suppression non autorisée de popups publiées

  Popup Builder jusqu’à la version 4.4.5 permet à un attaquant non authentifié de supprimer de l’affichage toutes les fenêtres contextuelles publiées par une seule requête GET. Le défaut résulte d’un contrôle d’autorisation insuffisant et d’un comportement de recherche qui fait prendre la branche de suppression pour les popups publiées lorsque le paramètre concerné est présent.

  Action recommandée : Mettre à jour vers une version corrigée lorsqu’elle sera disponible ; restreindre l’accès au plugin et vérifier l’état des popups publiées.

  Lire la fiche →Source : NVD — CVE-2026-89270 ↗
• CVE-2026-116512Critique

  Exécution de code à distance dans Project Manager

  Project Manager est vulnérable à une exécution de code à distance par le traitement du paramètre `id` d’une route REST. Toutes les versions jusqu’à 4.1.1 inclus sont concernées; le chemin vulnérable peut être atteint sans authentification.

  Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est disponible; en attendant, désactiver le plugin si possible et limiter l’exposition de l’instance.

  Lire la fiche →Source : NVD — CVE-2026-116512 ↗
• CVE-2026-119096Critique

  Contournement d’authentification dans Uncanny Toolkit for LearnDash

  Uncanny Toolkit for LearnDash présente un contournement d’authentification affectant les versions jusqu’à 3.8.2 incluse. Un attaquant disposant des identifiants d’un compte peut se connecter malgré les contrôles d’approbation ou de suspension ; aucune version corrigée n’est indiquée dans la source fournie.

  Action recommandée : Vérifier les comptes concernés et appliquer une version corrigée dès qu’elle est disponible ; la source fournie ne précise pas de correctif.

  Lire la fiche →Source : NVD — CVE-2026-119096 ↗
• CVE-2026-103882Critique

  Acadlix LMS — suppression de fichiers arbitraires (CVE-2026-103882)

  Le plugin WordPress Acadlix LMS permettait la suppression de fichiers arbitraires par une route insuffisamment protégée, avec un nonce rendu publiquement dans les pages du site. Les versions jusqu’à 1.1.9 inclus sont indiquées comme vulnérables; le résumé fourni décrit un accès effectif pouvant être non authentifié, mais aucun correctif n’est établi dans les éléments consultés.

  Action recommandée : Mettre à jour dès qu’un correctif est disponible; en attendant, désactiver le plugin ou la fonctionnalité vulnérable et examiner les journaux ainsi que les fichiers du site.

  Lire la fiche →Source : NVD — CVE-2026-103882 ↗
• CVE-2026-118235Critique

  Téléversement arbitraire de fichiers dans SimpleForm

  SimpleForm est vulnérable à l’envoi de fichiers arbitraires dans toutes les versions jusqu’à 3.10.2 incluse. Un attaquant non authentifié peut téléverser des fichiers potentiellement exécutables, avec un risque d’exécution de code ; aucun correctif n’est indiqué dans la source fournie.

  Action recommandée : Appliquer une version corrigée dès qu’elle est disponible ; la source fournie ne précise pas de correctif. Examiner les fichiers téléversés et restreindre temporairement les formulaires concernés.

  Lire la fiche →Source : NVD — CVE-2026-118235 ↗
• CVE-2026-111578Élevée

  XSS stockée dans PDF Invoices & Packing Slips for WooCommerce

  Le plugin PDF Invoices & Packing Slips for WooCommerce ne neutralise pas correctement certains champs de commande avant leur insertion dans les factures et bordereaux. Une commande invitée malveillante peut provoquer l’exécution d’un script lorsqu’un administrateur consulte le document ; la version corrigée n’est pas confirmée par les informations disponibles dans la période.

  Action recommandée : Mettre à jour au moins vers la version 5.16.5 et vérifier les documents générés à partir de commandes invitées.

  Lire la fiche →Source : NVD — CVE-2026-111578 ↗
• CVE-2026-107750Élevée

  Contournement d’un correctif XSS dans PDF Invoices & Packing Slips for WooCommerce

  PDF Invoices & Packing Slips for WooCommerce jusqu’à la version 5.16.4 présente une XSS stockée via certaines données de facturation et les notes client, contournant un correctif antérieur par encodage des entités. Un attaquant non authentifié peut injecter du contenu exécuté lorsque la page concernée est consultée ; la fiche NVD a été publiée pendant la période.

  Action recommandée : Mettre à jour le plugin dès qu’une version corrigée est disponible ; examiner les données de facturation et notes client susceptibles de contenir du contenu injecté.

  Lire la fiche →Source : NVD — CVE-2026-107750 ↗
• CVE-2026-119065Élevée

  XSS stockée dans Shipping Zones by Drawing pour WooCommerce

  Shipping Zones by Drawing pour WooCommerce est vulnérable à une XSS stockée via le paramètre de paiement « szbd-picked » dans les versions jusqu’à 3.3.0 incluses. Un client non authentifié peut soumettre une commande invitée forgée; le contenu injecté est rendu dans le lien Google Maps de la vue de commande WooCommerce et peut s’exécuter lorsqu’un administrateur la consulte.

  Action recommandée : Mettre à jour vers une version corrigée confirmée et examiner les commandes récentes comportant des données de zones de livraison anormales.

  Lire la fiche →Source : NVD — CVE-2026-119065 ↗
• CVE-2026-119163Élevée

  Injection SQL dans FunnelKit Automations

  FunnelKit Automations est vulnérable à une injection SQL temporelle via « bwfan_cart_id » dans les versions jusqu’à 3.8.5.2 incluses. Un attaquant non authentifié peut soumettre une valeur lors d’un paiement invité; l’injection est déclenchée ultérieurement par un travail Action Scheduler lors d’un changement d’état de commande indiqué dans l’avis.

  Action recommandée : Mettre à jour vers une version corrigée confirmée ; examiner les commandes invitées et tâches planifiées anormales, ainsi que les journaux de base de données.

  Lire la fiche →Source : NVD — CVE-2026-119163 ↗
• CVE-2026-119977Élevée

  WordPress Core : exécution de code à distance pendant une mise à niveau

  WordPress Core est vulnérable à une exécution de code à distance pendant la fenêtre d’une mise à niveau complète. Des chemins de préparation prévisibles et accessibles depuis le Web peuvent permettre à un attaquant non authentifié d’exécuter du code sur le serveur.

  Lire la fiche →Source : NVD — CVE-2026-119977 ↗
• CVE-2026-107653Élevée

  XSS stockée dans SureCart

  SureCart jusqu’à la version 4.9.4 présente une XSS stockée via le paramètre `comment`, exploitable par un attaquant non authentifié si le commentaire est approuvé ou auto-approuvé et s’affiche sur une page chargeant le bundle SureCart. La fiche NVD a été publiée pendant la période ; aucune version corrigée n’est indiquée dans les données fournies.

  Action recommandée : Mettre à jour SureCart dès qu’une version corrigée est disponible ; vérifier les commentaires en attente ou récemment approuvés et leur visibilité sur les pages concernées.

  Lire la fiche →Source : NVD — CVE-2026-107653 ↗
• CVE-2026-111254Élevée

  XSS stockée dans W3 Total Cache

  W3 Total Cache jusqu’à la version 2.10.7 présente une XSS stockée via le paramètre `comment`, dans des circonstances de configuration particulières. L’attaque requiert notamment une ancienne licence Pro active avec mise en cache REST, devenue inactive, et une identité de commentateur précédemment approuvée ; la fiche NVD a été publiée pendant la période.

  Action recommandée : Mettre à jour le plugin dès qu’une version corrigée est disponible ; vérifier l’état de la licence Pro et les configurations de cache ainsi que les commentaires approuvés.

  Lire la fiche →Source : NVD — CVE-2026-111254 ↗
• CVE-2026-115840Élevée

  XSS stockée dans VikRentCar

  VikRentCar jusqu’à la version 1.4.9 présente une XSS stockée via le paramètre `poplink`. Le nonce requis est émis aux visiteurs non authentifiés sur la page publique de confirmation de réservation ; la fiche NVD a été publiée pendant la période.

  Action recommandée : Mettre à jour le plugin dès qu’une version corrigée est disponible ; contrôler les contenus associés aux réservations et pages de confirmation.

  Lire la fiche →Source : NVD — CVE-2026-115840 ↗
• CVE-2026-116522Élevée

  XSS stockée dans Relevanssi – A Better Search

  Relevanssi – A Better Search est vulnérable à une XSS stockée via le paramètre « comment » dans les versions jusqu’à 4.28.5 incluses. L’exploitation nécessite l’indexation et la mise en évidence des commentaires activées, ainsi qu’un accès à une page singulière par un lien de résultat Relevanssi contenant le paramètre de mise en évidence.

  Lire la fiche →Source : NVD — CVE-2026-116522 ↗
• CVE-2026-116548Élevée

  XSS stockée dans VikRentCar

  VikRentCar est vulnérable à une XSS stockée via le paramètre « optionals » dans les versions jusqu’à 1.4.10 incluses. La faille permet à un attaquant non authentifié d’injecter des scripts qui s’exécutent lors de la consultation d’une page affectée.

  Lire la fiche →Source : NVD — CVE-2026-116548 ↗
• CVE-2026-118070Élevée

  XSS stockée dans les commandes Welcart e-Commerce

  Welcart e-Commerce est vulnérable à une XSS stockée via le paramètre « gid » dans les versions jusqu’à 2.12.5 incluses. Une requête de retour de navigateur forgée peut placer la valeur malveillante dans les métadonnées d’une commande; le script s’exécute ensuite lorsqu’un administrateur ouvre cette commande dans l’interface WordPress.

  Lire la fiche →Source : NVD — CVE-2026-118070 ↗
• CVE-2026-119089Élevée

  XSS stockée dans ThirstyAffiliates

  ThirstyAffiliates est vulnérable à une XSS stockée via le paramètre « comment » dans les versions jusqu’à 3.12.1 incluses. L’exploitation décrite concerne les thèmes bloc et exige qu’un commentaire de l’attaquant ait été approuvé auparavant; ses commentaires ultérieurs forgés sont alors approuvés automatiquement et rendus publiquement.

  Lire la fiche →Source : NVD — CVE-2026-119089 ↗
• CVE-2026-119162Élevée

  XSS stockée dans User Submitted Posts

  User Submitted Posts est vulnérable à une XSS stockée basée sur le DOM via « user-submitted-content » dans toutes les versions jusqu’à 20260916 inclus. Par défaut, les publications restent en attente d’approbation; si l’option de publication immédiate est activée, le contenu malveillant peut devenir accessible sans modération.

  Lire la fiche →Source : NVD — CVE-2026-119162 ↗
• CVE-2026-120040Élevée

  Mail logging & Catcher : exposition de clés de réinitialisation

  Mail logging & Catcher jusqu’à la version 2.2.0 peut exposer des clés de réinitialisation de mot de passe d’administrateur aux utilisateurs authentifiés disposant d’un accès de faible niveau. Le scénario dépend d’une configuration où le rôle autorisé à consulter les journaux a été abaissé, contrairement au réglage par défaut décrit dans la source.

  Action recommandée : Mettre à jour vers une version corrigée lorsqu’elle sera disponible et rétablir une restriction d’accès aux journaux réservée aux administrateurs.

  Lire la fiche →Source : NVD — CVE-2026-120040 ↗
• CVE-2026-103898Élevée

  Wp Social Login : contournement de l’authentification via connexion sociale

  Wp Social Login and Register Social Counter jusqu’à la version 3.2.2 peut authentifier un utilisateur WordPress à partir de la seule adresse électronique renvoyée par le fournisseur social. Un attaquant contrôlant un compte Facebook ou Twitter dont l’adresse correspond à celle d’un utilisateur du site pourrait obtenir une session, y compris celle d’un administrateur.

  Action recommandée : Mettre à jour vers une version corrigée lorsqu’elle sera disponible ; désactiver la connexion sociale concernée dans l’intervalle si elle n’est pas indispensable.

  Lire la fiche →Source : NVD — CVE-2026-103898 ↗
• CVE-2026-104012Élevée

  Élévation de privilèges dans Rox Appointment Booking

  Rox Appointment Booking est vulnérable à une élévation de privilèges par affectation de masse sur son endpoint public de réservation. Les versions jusqu’à 1.3.1 inclus sont concernées; une prise de contrôle de compte administrateur peut en résulter si un administrateur ouvre puis enregistre l’enregistrement client piégé.

  Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est disponible; dans l’intervalle, surveiller les enregistrements clients et ne pas enregistrer d’enregistrement suspect.

  Lire la fiche →Source : NVD — CVE-2026-104012 ↗
• CVE-2026-107759Élevée

  XSS stockée dans WPO365 Microsoft 365 Graph Mailer

  WPO365 | Microsoft 365 Graph Mailer présente une XSS stockée dans le sujet transmis par une fonctionnalité d’envoi de courriel. Toutes les versions jusqu’à 6.2 inclus sont concernées; l’injection peut être réalisée sans authentification lorsque le plugin est activé mais que l’autorisation OAuth n’a pas été achevée.

  Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est disponible; terminer l’autorisation OAuth et contrôler les formulaires et contenus transmis par courriel.

  Lire la fiche →Source : NVD — CVE-2026-107759 ↗
• CVE-2026-118057Élevée

  XSS stockée dans Shield Security

  Shield Security présente une XSS stockée via la valeur `REQUEST_URI` enregistrée dans le champ de chemin de son tableau de trafic. Toutes les versions jusqu’à 22.3.2 inclus sont concernées; la source décrit une exploitation possible sans authentification.

  Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est disponible; surveiller les pages et journaux de trafic susceptibles de contenir des chemins injectés.

  Lire la fiche →Source : NVD — CVE-2026-118057 ↗
• CVE-2026-120070Élevée

  Élévation de privilèges via un shortcode dans User Frontend

  User Frontend est vulnérable à une élévation de privilèges dans toutes les versions jusqu’à 4.3.13 incluse. Un utilisateur authentifié disposant au minimum du rôle Subscriber peut faire apparaître un formulaire public permettant de créer des comptes Editor ; aucun correctif n’est indiqué dans la source fournie.

  Action recommandée : Appliquer une version corrigée dès qu’elle est disponible ; la source fournie ne précise pas de correctif. Examiner les contenus publiés contenant des shortcodes d’inscription.

  Lire la fiche →Source : NVD — CVE-2026-120070 ↗
• CVE-2026-110530Élevée

  XSS stockée via les flux syndiqués dans FeedWordPress

  FeedWordPress présente une vulnérabilité XSS stockée dans toutes les versions jusqu’à 2026.0517 incluse. Un attaquant contrôlant un flux RSS ou Atom auquel le site est abonné peut injecter des scripts exécutés lors de l’affichage des pages concernées ; aucun correctif n’est indiqué dans la source fournie.

  Action recommandée : Appliquer une version corrigée dès qu’elle est disponible ; la source fournie ne précise pas de correctif. Examiner les flux auxquels le site est abonné et le contenu importé.

  Lire la fiche →Source : NVD — CVE-2026-110530 ↗
• CVE-2026-120075Élevée

  XSS stockée dans WP Activity Log

  WP Activity Log présente une XSS stockée dans toutes les versions jusqu’à 5.6.1 incluse. La source indique qu’un attaquant non authentifié peut injecter des scripts exécutés à l’affichage d’une page concernée, sans préciser le vecteur technique ni de version corrigée.

  Action recommandée : Appliquer une version corrigée dès qu’elle est disponible ; la source fournie ne précise pas de correctif. Examiner les contenus et journaux concernés.

  Lire la fiche →Source : NVD — CVE-2026-120075 ↗
• CVE-2026-109197Élevée

  Injection SQL dans WP Directory Kit

  WP Directory Kit présente une injection SQL via le paramètre `idfield` jusqu’à la version 1.6.0 incluse. Un attaquant non authentifié peut ajouter des requêtes SQL et potentiellement extraire des informations sensibles de la base de données.

  Action recommandée : Mettre à jour vers une version corrigée lorsqu’elle est disponible ; limiter l’exposition du plugin tant qu’aucun correctif n’est confirmé.

  Lire la fiche →Source : NVD — CVE-2026-109197 ↗
• CVE-2026-120114Élevée

  XSS stockée dans Debug Log Manager

  Debug Log Manager est vulnérable à une XSS stockée via les paramètres `message` et `pageUrl` jusqu’à la version 2.5.2 incluse. L’exploitation nécessite que la journalisation de débogage et celle des erreurs JavaScript soient actives ; le nonce nécessaire est diffusé sur les pages publiques du site.

  Action recommandée : Mettre à jour vers une version corrigée lorsqu’elle est disponible et désactiver la journalisation concernée si elle n’est pas nécessaire.

  Lire la fiche →Source : NVD — CVE-2026-120114 ↗
• CVE-2026-76010Élevée

  Exécution de code à distance dans NextGEN Gallery

  NextGEN Gallery présente une vulnérabilité d’exécution de code à distance dans toutes les versions jusqu’à 4.4.1 incluse, via la fonction `render_image`. L’exploitation requiert un compte authentifié disposant des conditions de gestion d’une galerie décrites par la fiche, notamment une galerie détenue par l’attaquant.

  Action recommandée : Mettre à jour vers une version corrigée lorsqu’elle est disponible et vérifier les comptes ayant ou ayant eu des capacités de gestion de galerie.

  Lire la fiche →Source : NVD — CVE-2026-76010 ↗
• CVE-2026-109234Élevée

  Meow Lightbox — XSS persistante sous conditions (CVE-2026-109234)

  Le module WordPress Meow Lightbox présentait une XSS persistante via le contenu de réponses bbPress, permettant l’exécution de scripts dans le navigateur des visiteurs lorsque plusieurs réglages et conditions de stockage HTML étaient réunis. Les versions jusqu’à 5.6.4 inclus sont indiquées comme vulnérables; le correctif n’est pas établi par les éléments consultés.

  Action recommandée : Vérifier la disponibilité d’une version corrigée auprès de l’éditeur et mettre à jour; à défaut, désactiver les réglages concernés et limiter les soumissions HTML stockées.

  Lire la fiche →Source : NVD — CVE-2026-109234 ↗
• CVE-2026-118185Élevée

  Security Optimizer : contournement du second facteur par essais répétés

  Security Optimizer, avant la version 1.6.9, ne limite pas le nombre de codes d’authentification à deux facteurs soumis lors d’une connexion en attente. Un attaquant connaissant déjà le mot de passe d’un utilisateur peut ainsi tenter de deviner le second facteur et prendre le contrôle de son compte.

  Action recommandée : Mettre à jour Security Optimizer vers la version 1.6.9 ou une version ultérieure.

  Lire la fiche →Source : NVD — CVE-2026-118185 ↗
• CVE-2026-118638Élevée

  Mapster WP Maps : écritures non autorisées via une route REST

  Mapster WP Maps, avant la version 2.0.6, expose une route REST qui écrit des données de publication sans contrôle d’autorisation. Un attaquant non authentifié peut modifier le titre de publications arbitraires, créer des publications publiées et remplacer les paramètres enregistrés du plugin.

  Action recommandée : Mettre à jour Mapster WP Maps vers la version 2.0.6 ou une version ultérieure.

  Lire la fiche →Source : NVD — CVE-2026-118638 ↗
• CVE-2026-104926Moyenne

  XSS réfléchie dans WooCommerce Extra Product Options Pro

  WooCommerce Extra Product Options Pro présente une XSS réfléchie via les paramètres `_start` et `_end` jusqu’à la version 3.3.2 incluse. L’exploitation est possible sur une page produit configurée avec un champ Date & Time Range Picker et nécessite d’inciter une victime à suivre un lien piégé.

  Action recommandée : Mettre à jour vers une version corrigée lorsqu’elle est disponible ; examiner les pages produit utilisant le sélecteur de plage de date et d’heure.

  Lire la fiche →Source : NVD — CVE-2026-104926 ↗
• CVE-2026-107711Moyenne

  XSS stockée dans FlexStock

  FlexStock est vulnérable à une XSS stockée via `products[].post_content` jusqu’à la version 3.17.2 incluse. Un utilisateur authentifié ayant le rôle Abonné ou supérieur peut injecter du contenu scripté, en raison notamment d’un contrôle de capacité insuffisant sur l’accès à l’API REST.

  Action recommandée : Mettre à jour vers une version corrigée lorsqu’elle est disponible et limiter les comptes ayant accès au tableau de bord.

  Lire la fiche →Source : NVD — CVE-2026-107711 ↗
• CVE-2026-109231Moyenne

  Réutilisation de jeton et exposition de données dans Germanized for WooCommerce

  Germanized for WooCommerce est vulnérable à une exposition non autorisée de données privées par réutilisation du jeton d’activation, jusqu’à la version 4.1.4 incluse. Le scénario décrit exige une configuration particulière de la double confirmation, l’inscription publique et la réutilisation du jeton dans son délai d’expiration d’un jour.

  Action recommandée : Mettre à jour vers une version corrigée lorsqu’elle est disponible et vérifier les paramètres d’inscription et de double confirmation concernés.

  Lire la fiche →Source : NVD — CVE-2026-109231 ↗
• CVE-2026-94361Moyenne

  Payable Payment Gateway for WooCommerce : modification non autorisée de l’état des commandes

  Payable Payment Gateway for WooCommerce, avant la version 1.3.1, ne vérifie pas l’authenticité des notifications de paiement avant de modifier l’état d’une commande. Un attaquant non authentifié peut faire passer une commande en payée ou en échec, quel que soit le moyen de paiement utilisé.

  Action recommandée : Mettre à jour Payable Payment Gateway for WooCommerce vers la version 1.3.1 ou une version ultérieure.

  Lire la fiche →Source : NVD — CVE-2026-94361 ↗
• CVE-2026-109217Moyenne

  Divulgation de factures dans PDF Invoices & Packing Slips for WooCommerce

  PDF Invoices & Packing Slips for WooCommerce jusqu’à la version 5.16.5 peut divulguer une facture PDF d’un autre client par l’intermédiaire d’une pièce jointe envoyée avec un courriel de commande. L’exploitation dépend de conditions précises liées à la remise à zéro annuelle des numéros de facture et au traitement rapproché de commandes ; la fiche NVD a été publiée pendant la période.

  Action recommandée : Mettre à jour le plugin dès qu’une version corrigée est disponible ; vérifier la configuration de remise à zéro annuelle et les courriels de commande concernés.

  Lire la fiche →Source : NVD — CVE-2026-109217 ↗
• CVE-2026-110251Moyenne

  Suppression non autorisée de fichiers de la médiathèque dans Photo Reviews for WooCommerce

  Photo Reviews for WooCommerce jusqu’à la version 1.2.31 permet la suppression non autorisée de pièces jointes de la médiathèque WordPress, y compris leurs fichiers sur disque. L’attaque peut être non authentifiée et s’appuie sur des identifiants de pièces jointes insérés dans un commentaire d’avis ; la fiche NVD a été publiée pendant la période.

  Action recommandée : Mettre à jour le plugin dès qu’une version corrigée est disponible ; examiner les avis supprimés et les pièces jointes manquantes.

  Lire la fiche →Source : NVD — CVE-2026-110251 ↗
• CVE-2026-11396Moyenne

  Product Filter for WooCommerce : divulgation de produits non publics

  Product Filter for WooCommerce by WBW jusqu’à la version 3.4.6 ne vérifie pas l’autorisation sur une action AJAX publique qui accepte des arguments de requête contrôlés par l’appelant. Un attaquant non authentifié peut ainsi obtenir des informations sur des produits non publics et déclencher des requêtes non bornées.

  Action recommandée : Mettre à jour vers une version corrigée lorsqu’elle sera disponible ; limiter l’exposition du plugin aux visiteurs non authentifiés dans l’intervalle.

  Lire la fiche →Source : NVD — CVE-2026-11396 ↗
• CVE-2026-88942Moyenne

  Product Filter for WooCommerce : XSS réfléchie via wpf_fid

  Product Filter for WooCommerce by WBW jusqu’à la version 3.4.6 présente une XSS réfléchie via la valeur wpf_fid contenue dans un paramètre JSON. Un attaquant non authentifié peut exploiter le défaut en incitant un utilisateur à suivre un lien ou à effectuer une action conduisant à l’affichage de la charge utile.

  Action recommandée : Mettre à jour vers une version corrigée lorsqu’elle sera disponible ; éviter de diffuser des liens non fiables vers les fonctions de filtrage du plugin.

  Lire la fiche →Source : NVD — CVE-2026-88942 ↗
• CVE-2026-118184Moyenne

  Premium Packages : modification non autorisée du prix des articles du panier

  Premium Packages, avant la version 7.2.2, permet à des visiteurs non authentifiés de modifier le prix enregistré d’articles dans leur panier. Cela peut leur permettre de passer une commande à un montant arbitraire.

  Action recommandée : Mettre à jour Premium Packages vers la version 7.2.2 ou une version ultérieure.

  Lire la fiche →Source : NVD — CVE-2026-118184 ↗
• CVE-2026-118438Moyenne

  Firelight Lightbox : injection de scripts via des attributs d’image

  Firelight Lightbox, avant la version 2.3.24, n’échappe pas correctement certaines valeurs d’attributs d’image avant leur traitement dans le navigateur. Un utilisateur ayant au moins le rôle de contributeur peut injecter des scripts exécutés lorsqu’un autre utilisateur consulte ou prévisualise le contenu concerné.

  Action recommandée : Mettre à jour Firelight Lightbox vers la version 2.3.24 ou une version ultérieure.

  Lire la fiche →Source : NVD — CVE-2026-118438 ↗
• CVE-2026-118629Moyenne

  All-in-One Video Gallery : divulgation d’informations sur des vidéos non publiées

  All-in-One Video Gallery, avant la version 5.0.0, n’effectue pas de vérification du statut de publication d’une vidéo avant de l’afficher sur sa page de lecteur. Un visiteur non authentifié peut ainsi consulter, à partir de son identifiant, le titre et les URL source de vidéos privées, brouillons, en attente, programmées ou mises à la corbeille.

  Action recommandée : Mettre à jour All-in-One Video Gallery vers la version 5.0.0 ou une version ultérieure.

  Lire la fiche →Source : NVD — CVE-2026-118629 ↗
• CVE-2026-82214Moyenne

  Quick Event Manager : divulgation de publications privées ou en brouillon

  Quick Event Manager, avant la version 9.19, ne vérifie pas le statut ni le type de la publication demandée lors d’un export de calendrier. Un utilisateur non authentifié peut ainsi lire le contenu de publications privées ou en brouillon.

  Action recommandée : Mettre à jour Quick Event Manager vers la version 9.19 ou une version ultérieure.

  Lire la fiche →Source : NVD — CVE-2026-82214 ↗
• CVE-2026-92294Moyenne

  Spectra Gutenberg Blocks : suppression de fichiers de thème

  Spectra Gutenberg Blocks est affecté par une validation insuffisante des chemins de fichiers dans sa fonction __construct, permettant une suppression limitée de fichiers. Un attaquant non authentifié peut supprimer des fichiers de thème sur le serveur.

  Lire la fiche →Source : NVD — CVE-2026-92294 ↗
• CVE-2026-107765Moyenne

  XSS stockée dans Discussion Board – WordPress Forum Plugin

  Discussion Board – WordPress Forum Plugin jusqu’à la version 2.6.0 présente une XSS stockée dans le champ Website du profil utilisateur. Un utilisateur authentifié disposant au moins du rôle abonné peut injecter un script qui s’exécute sur une page de sujet contenant sa réponse ; la fiche NVD a été publiée pendant la période.

  Action recommandée : Mettre à jour le plugin dès qu’une version corrigée est disponible ; contrôler les liens de profil et les réponses publiées dans les sujets.

  Lire la fiche →Source : NVD — CVE-2026-107765 ↗
• CVE-2026-109386Moyenne

  Contournement d’autorisation dans Hustle

  Hustle jusqu’à la version 7.8.14.3 permet à certains utilisateurs authentifiés disposant de la capacité `hustle_create` de modifier des identifiants d’intégration ESP, et dans le cas de HubSpot de supprimer des options OAuth. La fiche NVD a été publiée pendant la période ; les données fournies ne précisent pas de version corrigée.

  Action recommandée : Mettre à jour le plugin dès qu’une version corrigée est disponible ; limiter la capacité `hustle_create` aux utilisateurs qui en ont besoin et vérifier les intégrations ESP.

  Lire la fiche →Source : NVD — CVE-2026-109386 ↗
• CVE-2026-111109Moyenne

  XSS stockée dans Webmention

  Webmention jusqu’à la version 5.10.1 présente une XSS stockée via la métadonnée Open Graph `og:title` d’une URL source de webmention. L’exécution requiert l’approbation du commentaire résultant par un administrateur ; la fiche NVD a été publiée pendant la période.

  Action recommandée : Mettre à jour le plugin dès qu’une version corrigée est disponible ; examiner les webmentions en attente avant approbation.

  Lire la fiche →Source : NVD — CVE-2026-111109 ↗
• CVE-2026-116546Moyenne

  XSS stockée dans WP Job Portal

  WP Job Portal est vulnérable à une XSS stockée via le paramètre « degreetitle » dans les versions jusqu’à 2.7.0 incluses. L’attaque requiert un compte de niveau Subscriber ou supérieur; le flux d’inscription du plugin pouvant créer un compte Employer fondé sur Subscriber, un visiteur peut exploiter la faille si l’inscription est disponible.

  Lire la fiche →Source : NVD — CVE-2026-116546 ↗
• CVE-2026-119166Moyenne

  Prise de contrôle de compte via IDOR dans Welcart e-Commerce

  Welcart e-Commerce présente une référence directe non sécurisée à un objet (IDOR) dans les versions jusqu’à 2.12.5 incluses. Un attaquant non authentifié connaissant l’identifiant numérique d’un membre peut remplacer son adresse e-mail et son mot de passe, puis prendre le contrôle de son compte de boutique.

  Lire la fiche →Source : NVD — CVE-2026-119166 ↗
• CVE-2026-119980Moyenne

  UsersWP : accès non autorisé aux comptes factices

  UsersWP jusqu’à la version 1.2.78 expose un secret permettant, sous certaines conditions, de retrouver le mot de passe commun de comptes factices et de se connecter à leur place. Le risque nécessite que des comptes factices aient été créés ; aucune version corrigée n’est indiquée dans la source fournie.

  Action recommandée : Mettre à jour vers une version corrigée lorsqu’elle sera disponible ; en attendant, éviter de créer des comptes factices et examiner/supprimer ceux qui existent.

  Lire la fiche →Source : NVD — CVE-2026-119980 ↗
• CVE-2026-120019Moyenne

  W3 Total Cache : XSS stockée sous conditions

  W3 Total Cache jusqu’à la version 2.10.7 présente une XSS stockée via le paramètre comment lorsque certaines conditions de minification HTML sont réunies. Un attaquant non authentifié peut alors faire exécuter du script dans le navigateur d’un visiteur consultant une page injectée.

  Action recommandée : Mettre à jour vers une version corrigée lorsqu’elle sera disponible ; vérifier la configuration de HTML Minify et désactiver la fonctionnalité si elle n’est pas nécessaire.

  Lire la fiche →Source : NVD — CVE-2026-120019 ↗
• CVE-2026-90960Moyenne

  Seraphinite Accelerator expose des données de comptes WordPress (CVE-2026-90960)

  CVE-2026-90960 est une exposition d’informations sensibles dans Seraphinite Accelerator, exploitable sans authentification lorsque la fonction Object Cache est activée et qu’une entrée utilisateur a d’abord été mise en cache. Les fichiers de cache prévisibles peuvent révéler des données de compte WordPress, notamment l’identifiant, l’adresse courriel, le hachage du mot de passe et la clé d’activation.

  Action recommandée : Désactiver la fonction Object Cache si possible et appliquer un correctif du fournisseur lorsqu’il sera disponible; aucune version corrigée n’est indiquée dans les informations fournies.

  Lire la fiche →Source : NVD — CVE-2026-90960 ↗
• CVE-2026-103962Moyenne

  XSS réfléchie dans le plugin WordPress User Frontend

  Le plugin User Frontend est vulnérable à une XSS réfléchie exploitable sans authentification via le paramètre `field_attr[required]`. Les versions jusqu’à 4.3.13 inclus sont concernées; aucun correctif ni contournement n’est précisé dans la source fournie.

  Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est disponible; en attendant, limiter l’usage du plugin et éviter les liens suspects.

  Lire la fiche →Source : NVD — CVE-2026-103962 ↗
• CVE-2026-103997Moyenne

  Redux Framework — exposition de données d’options à des abonnés (CVE-2026-103997)

  Redux Framework exposait des valeurs du bloc d’options Redux, potentiellement notamment des identifiants et clés, à des utilisateurs authentifiés disposant au moins du rôle abonné. Les versions jusqu’à 4.5.15 inclus sont indiquées comme concernées; les éléments consultés ne précisent pas de version corrigée.

  Action recommandée : Mettre à jour dès qu’une version corrigée est disponible et contrôler les accès aux profils ainsi que les secrets éventuellement exposés; renouveler les secrets concernés si nécessaire.

  Lire la fiche →Source : NVD — CVE-2026-103997 ↗
• CVE-2026-110023Moyenne

  Exposition de données par WP Data Access

  WP Data Access permet l’exposition non autorisée des données de tables sous-jacentes à une application publiée avec une API REST configurée en accès anonyme. Les versions jusqu’à 5.5.88 inclus sont concernées; les données potentiellement exposées comprennent des hachages de mots de passe, des adresses e-mail et des clés de réinitialisation.

  Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est disponible; réexaminer les applications publiées et désactiver l’accès anonyme aux API lorsque cela n’est pas nécessaire.

  Lire la fiche →Source : NVD — CVE-2026-110023 ↗
• CVE-2026-111070Moyenne

  XSS stockée dans Content Pilot

  Content Pilot est vulnérable à une XSS stockée dans le contenu d’articles importés depuis une source RSS configurée par un administrateur. Les versions jusqu’à 2.2.4 inclus sont concernées; un attaquant contrôlant le contenu de la source consommée peut faire exécuter des scripts aux visiteurs des pages affectées.

  Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est disponible; examiner les sources RSS configurées et suspendre celles dont le contenu n’est pas fiable.

  Lire la fiche →Source : NVD — CVE-2026-111070 ↗
• CVE-2026-111592Moyenne

  XSS stockée dans PublishPress Authors

  PublishPress Authors présente une XSS stockée via le nom d’auteur affiché. Les versions jusqu’à 4.17.0 inclus sont concernées; l’attaque requiert un compte authentifié à partir du rôle Subscriber et un terme d’auteur associé à ce compte.

  Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est disponible; vérifier les associations de termes d’auteur et les noms d’affichage concernés.

  Lire la fiche →Source : NVD — CVE-2026-111592 ↗
• CVE-2026-116535Moyenne

  XSS stockée dans SEOPress

  SEOPress présente une XSS stockée via le paramètre `display_name`. Toutes les versions jusqu’à 10.3 inclus sont concernées; un utilisateur authentifié ayant au moins le rôle Subscriber peut déclencher le problème en configurant un nom contenant le jeton `%%archive_title%%` et un contenu HTML malveillant.

  Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est disponible; examiner les noms d’affichage et limiter les comptes peu privilégiés selon les besoins.

  Lire la fiche →Source : NVD — CVE-2026-116535 ↗
• CVE-2026-101325Moyenne

  Injection SQL dans le plugin Newsletters

  Le plugin Newsletters présente une injection SQL dans le paramètre id dans toutes les versions jusqu’à 4.18.1 incluse. Un attaquant authentifié, y compris via le mécanisme d’abonnement décrit dans la source, peut extraire des informations de la base ; aucun correctif n’est indiqué dans la source fournie.

  Action recommandée : Appliquer une version corrigée dès qu’elle est disponible ; la source fournie ne précise pas de correctif. Vérifier les accès et les données potentiellement exposées.

  Lire la fiche →Source : NVD — CVE-2026-101325 ↗
• CVE-2026-103915Moyenne

  Exposition d’informations sensibles dans Amelia

  Amelia expose des informations sensibles dans toutes les versions jusqu’à 2.4.12 incluse. Un attaquant non authentifié peut obtenir des renseignements personnels sur le personnel et des notes internes d’événements ; aucun correctif n’est indiqué dans la source fournie.

  Action recommandée : Appliquer une version corrigée dès qu’elle est disponible ; la source fournie ne précise pas de correctif. Évaluer l’exposition des données personnelles et notes internes.

  Lire la fiche →Source : NVD — CVE-2026-103915 ↗
• CVE-2026-109367Moyenne

  Exposition de métadonnées non publiques dans All in One SEO

  All in One SEO expose des métadonnées non publiques dans toutes les versions jusqu’à 5.0.3 incluse. Un attaquant non authentifié peut récupérer des valeurs telles que des clés API ou des notes internes ; aucun correctif n’est indiqué dans la source fournie.

  Action recommandée : Appliquer une version corrigée dès qu’elle est disponible ; la source fournie ne précise pas de correctif. Vérifier les métadonnées susceptibles de contenir des secrets.

  Lire la fiche →Source : NVD — CVE-2026-109367 ↗
• CVE-2026-119160Moyenne

  XSS stockée dans Smart Post

  Smart Post présente une XSS stockée dans toutes les versions jusqu’à 4.0.9 incluse. Un utilisateur authentifié disposant au minimum du rôle Subscriber peut injecter du script, exécuté lorsqu’un visiteur interagit avec le filtre d’auteurs d’une page concernée ; aucun correctif n’est indiqué dans la source fournie.

  Action recommandée : Appliquer une version corrigée dès qu’elle est disponible ; la source fournie ne précise pas de correctif. Examiner les pages utilisant les blocs concernés.

  Lire la fiche →Source : NVD — CVE-2026-119160 ↗
• CVE-2026-100151Moyenne

  XSS DOM réfléchie dans Ninja Forms

  Ninja Forms est vulnérable à une XSS DOM réfléchie via le paramètre d’URL `querystring:` jusqu’à la version 3.15.5 incluse. Un attaquant non authentifié peut déclencher l’exécution de script en incitant une victime à suivre un lien spécialement conçu.

  Action recommandée : Mettre à jour vers une version corrigée lorsqu’elle est disponible ; dans l’intervalle, limiter l’exposition du formulaire et éviter les liens non fiables.

  Lire la fiche →Source : NVD — CVE-2026-100151 ↗
• CVE-2026-116752Moyenne

  XSS stockée dans GeoDirectory

  GeoDirectory présente une XSS stockée via le paramètre `post_images` jusqu’à la version 2.8.197 incluse. Un utilisateur authentifié de niveau Abonné ou supérieur peut injecter du script qui s’exécute lorsqu’un éditeur ou un administrateur ouvre l’écran de modification d’une annonce en attente.

  Action recommandée : Mettre à jour vers une version corrigée lorsqu’elle est disponible et examiner les annonces en attente avant leur édition.

  Lire la fiche →Source : NVD — CVE-2026-116752 ↗
• CVE-2026-96554Moyenne

  XSS stockée dans BuddyBoss Platform

  BuddyBoss Platform est vulnérable à une XSS stockée dans le nom des groupes jusqu’à la version 3.6.0 incluse. L’exploitation nécessite que la création de groupes par tous les membres soit activée, réglage indiqué comme étant le réglage par défaut.

  Action recommandée : Mettre à jour vers une version corrigée lorsqu’elle est disponible ; à défaut, restreindre la création de groupes aux administrateurs.

  Lire la fiche →Source : NVD — CVE-2026-96554 ↗
• CVE-2026-15272Moyenne

  Injection SQL dans Web 2.0 Directory

  Web 2.0 Directory présente une injection SQL temporelle via `w2dc_level_filter` jusqu’à la version 2.10.12 incluse. Un attaquant non authentifié peut exploiter le défaut pour extraire des informations sensibles de la base de données.

  Action recommandée : Mettre à jour vers une version corrigée lorsqu’elle est disponible ; limiter l’exposition du plugin tant qu’aucun correctif n’est confirmé.

  Lire la fiche →Source : NVD — CVE-2026-15272 ↗
• CVE-2026-118437Faible

  BuddyForms : suppression non autorisée de médias téléversés par des invités

  BuddyForms, avant la version 2.10.1, ne vérifie pas correctement la propriété des pièces jointes téléversées par des visiteurs. Un attaquant non authentifié peut supprimer définitivement des fichiers médias téléversés par d’autres visiteurs non authentifiés.

  Action recommandée : Mettre à jour BuddyForms vers la version 2.10.1 ou une version ultérieure.

  Lire la fiche →Source : NVD — CVE-2026-118437 ↗
• CVE-2026-100155Non déterminée

  Exécution de shortcodes arbitraires dans Ninja Forms

  Ninja Forms permet l’exécution de shortcodes arbitraires par un utilisateur non authentifié, en raison d’une validation insuffisante avant l’appel à do_shortcode. Les versions jusqu’à 3.15.5 sont concernées ; Patchstack indique que le correctif est la version 3.15.6.

  Action recommandée : Mettre à jour vers Ninja Forms 3.15.6 ou une version ultérieure.

  Lire la fiche →Source : NVD — CVE-2026-100155 ↗
• CVE-2026-101326Non déterminée

  Exécution de shortcodes dans Ninja Forms via la valeur affichée de l’utilisateur

  Ninja Forms exécute des shortcodes sans validation suffisante dans un scénario dépendant d’une configuration particulière du formulaire. L’exploitation décrite nécessite un champ dont la valeur par défaut utilise la balise de fusion {wp:user_display_name} sur une page publique ; aucun correctif n’est confirmé ici pour cette CVE précise.

  Action recommandée : Mettre à jour Ninja Forms dès qu’un correctif couvrant cette CVE est confirmé ; en attendant, retirer la balise de fusion concernée des valeurs par défaut des champs publics.

  Lire la fiche →Source : NVD — CVE-2026-101326 ↗
• CVE-2026-109997Non déterminée

  XSS stockée dans Ninja Forms via formData.extra

  Ninja Forms présente une XSS stockée via le paramètre formData.extra, liée à un traitement insuffisant des entrées et des sorties. La description rapporte qu’un nonce valide peut être obtenu par un demandeur non authentifié ; aucun correctif n’est confirmé ici pour cette CVE précise.

  Action recommandée : Mettre à jour Ninja Forms vers une version corrigeant cette vulnérabilité dès sa confirmation ; surveiller les formulaires concernés.

  Lire la fiche →Source : NVD — CVE-2026-109997 ↗
• CVE-2026-110042Non déterminée

  Divulgation de clés API dans Payment Forms for Paystack

  Payment Forms for Paystack expose des informations de configuration enregistrées à des utilisateurs disposant du rôle Contributor ou supérieur, notamment des clés secrètes de paiement. Les versions antérieures à 4.0.6 sont concernées ; mettre à jour vers 4.0.6 ou une version ultérieure.

  Action recommandée : Mettre à jour vers la version 4.0.6 ou ultérieure et renouveler les clés secrètes si elles ont pu être exposées.

  Lire la fiche →Source : NVD — CVE-2026-110042 ↗
• CVE-2026-110808Non déterminée

  Attribution de rôles élevés via Essential Addons for Elementor

  Essential Addons for Elementor ne restreint pas correctement le rôle attribué aux comptes créés via son formulaire d’inscription. Des utilisateurs authentifiés de niveau Author ou supérieur peuvent faire attribuer un rôle élevé à de nouveaux comptes ; les versions 6.6.0 à 6.8.7 restent concernées selon la description fournie.

  Action recommandée : Mettre à jour vers la version 6.8.8 ou ultérieure et contrôler les rôles des comptes créés via le formulaire d’inscription.

  Lire la fiche →Source : NVD — CVE-2026-110808 ↗
• CVE-2026-116520Non déterminée

  XSS stockée dans PPWP – Password Protect Pages

  PPWP – Password Protect Pages présente une XSS stockée via des valeurs de commentaire ou des attributs de shortcode insuffisamment assainis. La description indique que l’injection peut être soumise sans authentification ; la version corrigée n’est pas confirmée par les informations disponibles dans la période.

  Action recommandée : Mettre à jour vers une version corrigée dès sa confirmation et contrôler les commentaires approuvés automatiquement.

  Lire la fiche →Source : NVD — CVE-2026-116520 ↗
• CVE-2026-116563Non déterminée

  XSS DOM stockée dans NextGEN Gallery

  NextGEN Gallery présente une XSS DOM stockée via le paramètre comment, en raison d’un assainissement et d’un échappement insuffisants. L’exploitation rapportée nécessite l’activation de Shutter ou Shutter Reloaded et l’approbation du commentaire affecté ; le correctif n’est pas confirmé ici.

  Action recommandée : Mettre à jour vers une version corrigée dès sa confirmation et vérifier la configuration de la lightbox ainsi que les commentaires approuvés.

  Lire la fiche →Source : NVD — CVE-2026-116563 ↗
• CVE-2026-118043Non déterminée

  Déplacement arbitraire de fichiers dans Bulk Media Register

  Bulk Media Register ne valide pas correctement un chemin fourni par l’utilisateur avant de déplacer un fichier. Un utilisateur ayant le rôle Author peut ainsi déplacer ou renommer des fichiers arbitraires, y compris hors du répertoire WordPress ; la version 2.01 corrige le problème selon la fiche candidate.

  Action recommandée : Mettre à jour vers la version 2.01 ou ultérieure et examiner les fichiers manipulés par des comptes Author.

  Lire la fiche →Source : NVD — CVE-2026-118043 ↗

Vérification incomplète

Niveau relevé : Critique

La recherche a permis de vérifier quatre publications NVD de vulnérabilités liées à JavaScript dans la période, dont i18next et trois plugins WordPress. Les modifications NVD de CVE antérieures à la période n’ont pas été confirmées comme constituant des changements substantiels; les candidats correspondants restent donc à vérifier. Trois avis liés à JavaScript ont été retenus pour la période : deux vulnérabilités de paquets JavaScript publiées au début du 31 octobre en heure +02:00, et une mise à jour substantielle d’un avis Echo portant sur l’injection du schéma `javascript` dans des redirections. Les trois fiches NVD fournies n’établissent qu’une modification administrative à la date considérée, sans preuve d’un changement substantiel ; elles ne sont donc pas retenues.

• CVE-2026-103882Critique

  Acadlix LMS — suppression de fichiers arbitraires (CVE-2026-103882)

  Le plugin WordPress Acadlix LMS permettait la suppression de fichiers arbitraires par une route insuffisamment protégée, avec un nonce rendu publiquement dans les pages du site. Les versions jusqu’à 1.1.9 inclus sont indiquées comme vulnérables; le résumé fourni décrit un accès effectif pouvant être non authentifié, mais aucun correctif n’est établi dans les éléments consultés.

  Action recommandée : Mettre à jour dès qu’un correctif est disponible; en attendant, désactiver le plugin ou la fonctionnalité vulnérable et examiner les journaux ainsi que les fichiers du site.

  Lire la fiche →Source : NVD — CVE-2026-103882 ↗
• CVE-2026-109234Élevée

  Meow Lightbox — XSS persistante sous conditions (CVE-2026-109234)

  Le module WordPress Meow Lightbox présentait une XSS persistante via le contenu de réponses bbPress, permettant l’exécution de scripts dans le navigateur des visiteurs lorsque plusieurs réglages et conditions de stockage HTML étaient réunis. Les versions jusqu’à 5.6.4 inclus sont indiquées comme vulnérables; le correctif n’est pas établi par les éléments consultés.

  Action recommandée : Vérifier la disponibilité d’une version corrigée auprès de l’éditeur et mettre à jour; à défaut, désactiver les réglages concernés et limiter les soumissions HTML stockées.

  Lire la fiche →Source : NVD — CVE-2026-109234 ↗
• CVE-2026-116689Élevée

  follow-redirects : divulgation possible d’en-têtes personnalisés lors de redirections

  Dans follow-redirects 1.16.0 et 1.16.1, un tableau `sensitiveHeaders` créé dans un autre environnement JavaScript est rejeté à tort, ce qui peut laisser passer un en-tête d’authentification personnalisé lors d’une redirection inter-origine. Le risque concerne les appels qui transmettent un tel tableau et suivent une redirection contrôlée par un tiers ; mettre à niveau vers 1.16.2.

  Action recommandée : Mettre à niveau follow-redirects vers 1.16.2 ou une version ultérieure.

  Lire la fiche →Source : GHSA-mrwp-f3q8-3g9p — follow-redirects ↗
• CVE-2026-118658Moyenne

  Echo : injection de schéma arbitraire dans les redirections WWW

  Les middlewares `WWWRedirect` et `NonWWWRedirect` d’Echo pouvaient intégrer un schéma fourni par l’attaquant via des en-têtes de proxy, notamment `javascript`, dans l’URL de redirection. Mettre à niveau Echo vers v5.1.1 ou v4.15.2 selon la branche, ou faire écraser ou supprimer ces en-têtes par le proxy en attendant.

  Action recommandée : Mettre à niveau vers Echo v5.1.1 ou v4.15.2, selon la branche utilisée.

  Lire la fiche →Source : GHSA-23wf-92cp-8pcj — Echo ↗
• CVE-2026-103997Moyenne

  Redux Framework — exposition de données d’options à des abonnés (CVE-2026-103997)

  Redux Framework exposait des valeurs du bloc d’options Redux, potentiellement notamment des identifiants et clés, à des utilisateurs authentifiés disposant au moins du rôle abonné. Les versions jusqu’à 4.5.15 inclus sont indiquées comme concernées; les éléments consultés ne précisent pas de version corrigée.

  Action recommandée : Mettre à jour dès qu’une version corrigée est disponible et contrôler les accès aux profils ainsi que les secrets éventuellement exposés; renouveler les secrets concernés si nécessaire.

  Lire la fiche →Source : NVD — CVE-2026-103997 ↗
• CVE-2026-63402Moyenne

  i18next — corruption possible de fonctions intégrées par fusion profonde (CVE-2026-63402)

  Dans i18next, `deepExtend` pouvait corrompre des fonctions intégrées partagées et provoquer un déni de service lorsque des données contrôlées par un attaquant étaient fusionnées avec `deep: true` et `overwrite: true`. Le défaut concerne les versions antérieures à 26.3.4; mettre à jour vers cette version ou une version ultérieure.

  Action recommandée : Mettre à jour i18next vers 26.3.4 ou une version ultérieure; éviter de fusionner des ressources non fiables avec les deux options `deep` et `overwrite` activées.

  Lire la fiche →Source : NVD — CVE-2026-63402 ↗
• CVE-2026-118777Moyenne

  node-forge : pollution de prototypes dans le traitement des cookies

  Le client `forge.http` de node-forge pouvait traiter des cookies `Set-Cookie` malveillants en modifiant des propriétés de `Object.prototype` ou de `Object`, ou en supprimant des méthodes intégrées. Les applications qui utilisent `forge.http` ou `forge.xhr` avec un serveur non fiable sont concernées ; mettre à niveau node-forge vers 1.4.1.

  Action recommandée : Mettre à niveau node-forge vers 1.4.1 ou une version ultérieure.

  Lire la fiche →Source : GHSA-6wvx-3r32-xmcg — Forge ↗

Recherche du sujet effectuée

Niveau relevé : Élevée

La recherche a identifié huit avis GitHub et une publication NVD datés du 30 octobre UTC, dans la période locale demandée. Les avis concernent des composants de l’écosystème Node.js (Aedes, node-forge, glob, @hapi/content/content et joi); ils ne constituent pas des avis de sécurité du runtime Node.js lui-même. La recherche du blog officiel Node.js a aussi fait ressortir une publication de sécurité datée du 21 octobre, hors période.

• CVE-2026-63341Élevée

  Aedes : arrêt du broker par topic MQTT excessivement profond

  Aedes avant 1.1.1 ne limite pas la profondeur ni la complexité des topics MQTT, ce qui peut provoquer une exception non interceptée et arrêter le broker. Mettre à niveau vers Aedes 1.1.1 ou une version ultérieure.

  Action recommandée : Mettre à niveau Aedes vers 1.1.1 ou une version ultérieure.

  Lire la fiche →Source : NVD — CVE-2026-63341 ↗
• CVE-2026-119187Élevée

  node-forge : épuisement de pile pendant le traitement des enregistrements TLS

  Dans node-forge jusqu’à 1.4.0, le traitement récursif des enregistrements TLS peut épuiser la pile et faire planter un processus Node.js. Mettre à niveau node-forge vers 1.4.1 ou une version ultérieure.

  Action recommandée : Mettre à niveau node-forge vers 1.4.1 ou une version ultérieure.

  Lire la fiche →Source : GitHub Advisory — GHSA-hqq3-7jhf-c5jx ↗
• CVE-2026-119188Élevée

  node-forge : exception TLS sur un enregistrement intercalé au handshake

  Dans node-forge jusqu’à 1.4.0, un enregistrement TLS intercalé pendant un message de handshake fragmenté peut provoquer une exception TypeError non interceptée. Mettre à niveau node-forge vers 1.4.1 ou une version ultérieure.

  Action recommandée : Mettre à niveau node-forge vers 1.4.1 ou une version ultérieure.

  Lire la fiche →Source : GitHub Advisory — GHSA-8hrf-8g6f-7xwp ↗
• CVE-2026-118779Élevée

  node-forge : déni de service par expressions régulières lors du décodage PEM

  Dans node-forge jusqu’à 1.4.0, le décodage PEM peut effectuer un traitement polynomial ou quadratique sur certaines entrées malformées. Rejeter les entrées PEM non fiables en attendant la mise à niveau vers node-forge 1.4.1 ou une version ultérieure.

  Action recommandée : Mettre à niveau node-forge vers 1.4.1 ou une version ultérieure et limiter entre-temps la taille des PEM non fiables.

  Lire la fiche →Source : GitHub Advisory — GHSA-7wch-p9px-956x ↗
• CVE-2026-119202Élevée

  @hapi/content : traitement quadratique de paramètres multipart

  Dans @hapi/content jusqu’à 6.0.2, l’analyse de paramètres Content-Disposition contenant un long jeton sans signe égal peut prendre un temps quadratique. Mettre à niveau @hapi/content vers 6.0.3 ou une version ultérieure.

  Action recommandée : Mettre à niveau @hapi/content vers 6.0.3 ou une version ultérieure; pour content, vérifier auprès du projet ou de l’éditeur le correctif applicable.

  Lire la fiche →Source : GitHub Advisory — GHSA-8494-f6mr-cjpv ↗
• CVE-2026-118772Élevée

  joi : traitement quadratique des espaces dans la validation d’adresses e-mail multiples

  Dans certaines versions de joi, la validation d’une valeur contenant une longue séquence d’espaces avec string().email({ multiple: true }) peut prendre un temps quadratique. Mettre à niveau vers 17.13.9 ou 18.3.1 selon la branche utilisée.

  Action recommandée : Mettre à niveau joi vers 17.13.9 ou 18.3.1 selon la branche; vérifier séparément la prise en charge de @hapi/joi.

  Lire la fiche →Source : GitHub Advisory — GHSA-4528-x5fx-h6hg ↗
• CVE-2026-118778Moyenne

  node-forge : plantage du client TLS si le serveur n’envoie pas de certificat

  Dans node-forge jusqu’à 1.4.0, le client TLS peut lever une TypeError si le serveur omet son certificat, ce qui peut arrêter le processus Node.js appelant. Mettre à niveau node-forge vers 1.4.1 ou une version ultérieure.

  Action recommandée : Mettre à niveau node-forge vers 1.4.1 ou une version ultérieure.

  Lire la fiche →Source : GitHub Advisory — GHSA-525v-9gp9-w22h ↗
• CVE-2026-118773Moyenne

  glob : le parcours du système de fichiers continue après annulation

  Dans glob jusqu’à 14.0.1, l’annulation d’un parcours asynchrone peut rejeter l’opération sans interrompre le travail récursif en arrière-plan. Mettre à niveau vers glob 14.0.2 ou une version ultérieure.

  Action recommandée : Mettre à niveau glob vers 14.0.2 ou une version ultérieure.

  Lire la fiche →Source : GitHub Advisory — GHSA-3g3m-2fjr-6pw4 ↗
• CVE-2026-118781Faible

  node-forge : boucle infinie de BigInteger.modInverse() sur entrée négative

  Dans node-forge jusqu’à 1.4.0, modInverse() peut boucler indéfiniment avec une valeur ou un module négatif et bloquer la boucle d’événements Node.js. Mettre à niveau node-forge vers 1.4.1 ou une version ultérieure.

  Action recommandée : Mettre à niveau node-forge vers 1.4.1 ou une version ultérieure.

  Lire la fiche →Source : GitHub Advisory — GHSA-h6cr-wjv9-3cpp ↗

Recherche du sujet effectuée

Niveau relevé : Élevée

Quatre avis publiés pendant la période concernent des logiciels Python : trois vulnérabilités de Fickling et une vulnérabilité d’OAuthlib. Les fiches fournies pour Python Social Auth, Tornado et dd-trace-py signalent des publications antérieures; leur simple mise à jour NVD pendant la période ne suffit pas à établir un changement substantiel daté dans celle-ci. Les sources fournies documentent cinq avis GitHub publiés dans la période concernant GraphQL-core, pyasn1 et Authlib, ainsi qu’un avis Debian de mise à jour de sécurité pour python-aiohttp couvrant 26 CVE. Les détails de versions corrigées et de gravité ne sont pas fournis dans le résumé Debian et sont laissés vides ou inconnus.

• CVE-2026-118938Élevée

  Fickling — contournement de l’analyse de sécurité des pickles

  Fickling jusqu’à la version 0.1.12 peut laisser passer un pickle malveillant utilisant un nom d’attribut qualifié avec un point, puis le charger comme sûr. Le correctif n’est pas établi dans les informations vérifiées; évitez de vous fier à `check_safety()` comme barrière de sécurité et mettez à jour dès qu’une version corrigée est disponible.

  Action recommandée : Ne chargez pas de pickles non fiables avec les versions concernées; surveillez la publication d’une version corrigée.

  Lire la fiche →Source : NVD — CVE-2026-118938 ↗
• CVE-2026-16760Élevée

  Fickling — confiance injustifiée envers des appels de la bibliothèque standard

  Fickling jusqu’à la version 0.1.12 peut considérer comme sûres certaines fonctions dangereuses issues de modules de la bibliothèque standard, sans vérifier leur comportement. Un correctif final n’est pas établi dans les informations vérifiées; ne chargez pas de pickles non fiables avec les versions concernées.

  Action recommandée : Ne chargez pas de pickles non fiables avec les versions concernées; surveillez la publication d’une version corrigée.

  Lire la fiche →Source : NVD — CVE-2026-16760 ↗
• CVE-2026-119286Élevée

  GraphQL-core : déni de service par fuite mémoire lors de validations interrompues

  GraphQL-core peut subir un déni de service par épuisement mémoire lorsque des validations dépassant `max_errors` sont répétées. La version 3.3.1 corrige le problème en évitant de réutiliser l’exception avec sa trace; à défaut, l’avis décrit un contournement consistant à effacer sa trace après validation.

  Action recommandée : Mettre à niveau graphql-core vers 3.3.1 ou une version ultérieure corrigée.

  Lire la fiche →Source : GHSA-mpqx-q82w-9×46 — GraphQL-core has denial of service via memory leak in aborted validations ↗
• CVE-2026-63378Élevée

  TAKO AI Agent for Okta — exécution de code Python par un utilisateur authentifié

  TAKO AI Agent for Okta permet à un utilisateur authentifié disposant d’un cookie `fctr_session` d’envoyer du code Python qui contourne la validation et est exécuté par le processus de l’application. La version 3.0.1-beta corrige le problème; mettez à niveau sans délai si le produit est déployé.

  Action recommandée : Mettre à niveau vers la version 3.0.1-beta ou une version ultérieure corrigée.

  Lire la fiche →Source : NVD — CVE-2026-63378 ↗
• CVE-2026-118669Élevée

  OAuthlib — décalage entre le client authentifié et le client utilisé pour l’autorisation

  OAuthlib peut authentifier un client confidentiel tout en utilisant un autre `client_id` fourni dans la requête pour valider les droits et les portées de certains flux de jetons. Le problème concerne notamment les flux `client_credentials` et `password`; la version 4.0.0 corrige la vulnérabilité.

  Action recommandée : Mettre à niveau vers oauthlib 4.0.0 ou une version ultérieure; vérifier que les validateurs n’autorisent pas sur un identifiant client non authentifié.

  Lire la fiche →Source : GitHub Advisory Database — GHSA-7984-qgvg-3j9c ↗
• CVE-2026-119194Élevée

  pyasn1 : déni de service par consommation CPU quadratique au décodage ASN.1

  pyasn1 peut consommer un temps CPU quadratique en décodant des conteneurs BER, CER ou DER sans schéma contenant de nombreux identifiants de tag distincts. La version 0.6.5 corrige le problème; les applications qui décodent des données ASN.1 non fiables devraient effectuer la mise à niveau.

  Action recommandée : Mettre à niveau pyasn1 vers 0.6.5 ou une version ultérieure corrigée.

  Lire la fiche →Source : GHSA-fm9c-5rcf-2q5p — pyasn1 has quadratic CPU use in schemaless BER/CER/DER container decoding ↗
• CVE-2026-119197Élevée

  pyasn1 : déni de service par décodage coûteux de valeurs REAL binaires

  Dans pyasn1, le décodage d’une valeur ASN.1 REAL encodée en binaire avec une grande mantisse peut prendre un temps CPU quadratique. La version 0.6.5 corrige le défaut; les applications qui décodent des entrées ASN.1 non fiables devraient mettre à niveau la bibliothèque.

  Action recommandée : Mettre à niveau pyasn1 vers 0.6.5 ou une version ultérieure corrigée.

  Lire la fiche →Source : GHSA-mm57-4v3p-rchx — pyasn1 has quadratic-complexity denial of service in binary REAL decoding ↗
• CVE-2026-119196Élevée

  pyasn1 : déni de service par décodage quadratique de BIT STRING construits

  Le décodage d’un BIT STRING construit avec de nombreux fragments peut entraîner une consommation CPU quadratique dans pyasn1. La version 0.6.5 corrige le problème; les applications qui traitent des données ASN.1 non fiables devraient mettre à niveau la bibliothèque.

  Action recommandée : Mettre à niveau pyasn1 vers 0.6.5 ou une version ultérieure corrigée.

  Lire la fiche →Source : GHSA-2qm8-x737-gmw5 — pyasn1 has quadratic CPU consumption in constructed BIT STRING decoding ↗
• CVE-2026-116672Élevée

  Authlib : exemples RFC 7592 sans liaison du jeton au client visé

  Les exemples documentés d’Authlib pour la gestion des enregistrements de clients OAuth 2.0 ne lient pas explicitement le jeton d’accès au client visé. Une implémentation suivant ces exemples peut permettre à un détenteur d’un jeton valide d’accéder aux enregistrements d’autres clients; Authlib 1.9.1 corrige le problème.

  Action recommandée : Mettre à niveau Authlib vers 1.9.1 ou une version ultérieure et vérifier les implémentations personnalisées des méthodes concernées.

  Lire la fiche →Source : GHSA-c73q-w75p-j82v — Authlib RFC 7592 examples omit registration-access-token client binding ↗
• CVE-2025-53643Non déterminée

  python-aiohttp : désynchronisation de requêtes liée aux trailers HTTP

  Debian a publié un avis de sécurité pour python-aiohttp couvrant cette vulnérabilité de désynchronisation de requêtes, causée par l’absence d’analyse des sections trailer d’une requête HTTP. Les versions corrigées ne sont pas précisées dans les informations fournies; consulter l’avis Debian pour les détails de mise à jour.

  Action recommandée : Consulter DLA-4876-1 et appliquer la mise à jour de sécurité Debian pour python-aiohttp.

  Lire la fiche →Source : DLA-4876-1 python-aiohttp – security update ↗
• CVE-2025-69223Non déterminée

  python-aiohttp : risque d’attaque par zip bomb

  Debian a publié un avis de sécurité pour python-aiohttp signalant un risque d’attaque par zip bomb contre le serveur. Les versions concernées et corrigées ne sont pas précisées dans les informations fournies; consulter l’avis Debian pour les détails de mise à jour.

  Action recommandée : Consulter DLA-4876-1 et appliquer la mise à jour de sécurité Debian pour python-aiohttp.

  Lire la fiche →Source : DLA-4876-1 python-aiohttp – security update ↗
• CVE-2025-69224Non déterminée

  python-aiohttp : désynchronisation de requêtes HTTP avec caractères non ASCII

  Debian a publié un avis de sécurité pour python-aiohttp signalant un risque de désynchronisation de requêtes dans l’analyseur HTTP en présence de caractères non ASCII. Les versions concernées et corrigées ne sont pas précisées dans les informations fournies; consulter l’avis Debian pour les détails.

  Action recommandée : Consulter DLA-4876-1 et appliquer la mise à jour de sécurité Debian pour python-aiohttp.

  Lire la fiche →Source : DLA-4876-1 python-aiohttp – security update ↗
• CVE-2025-69225Non déterminée

  python-aiohttp : chiffres non ASCII acceptés dans l’en-tête Range

  Debian a publié un avis de sécurité pour python-aiohttp indiquant que l’analyseur accepte des chiffres non ASCII dans l’en-tête Range. Les versions concernées et corrigées ne sont pas précisées dans les informations fournies; consulter l’avis Debian pour les détails.

  Action recommandée : Consulter DLA-4876-1 et appliquer la mise à jour de sécurité Debian pour python-aiohttp.

  Lire la fiche →Source : DLA-4876-1 python-aiohttp – security update ↗
• CVE-2025-69226Non déterminée

  python-aiohttp : traversée de chemin révélant l’existence de composants

  Debian a publié un avis de sécurité pour python-aiohttp signalant une traversée de chemin permettant de déterminer l’existence de composants de chemin. Les versions concernées et corrigées ne sont pas précisées dans les informations fournies; consulter l’avis Debian pour les détails.

  Action recommandée : Consulter DLA-4876-1 et appliquer la mise à jour de sécurité Debian pour python-aiohttp.

  Lire la fiche →Source : DLA-4876-1 python-aiohttp – security update ↗
• CVE-2025-69227Non déterminée

  python-aiohttp : boucle infinie possible lors du traitement d’un corps POST

  Debian a publié un avis de sécurité pour python-aiohttp signalant une boucle infinie possible lors du traitement d’un corps POST lorsque des assertions sont contournées. Les versions concernées et corrigées ne sont pas précisées dans les informations fournies; consulter l’avis Debian pour les détails.

  Action recommandée : Consulter DLA-4876-1 et appliquer la mise à jour de sécurité Debian pour python-aiohttp.

  Lire la fiche →Source : DLA-4876-1 python-aiohttp – security update ↗
• CVE-2025-69228Non déterminée

  python-aiohttp : épuisement mémoire via Request.post()

  Debian a publié un avis de sécurité pour python-aiohttp indiquant que `Request.post()` peut entraîner une consommation excessive de mémoire et geler le serveur. Les versions concernées et corrigées ne sont pas précisées dans les informations fournies; consulter l’avis Debian pour les détails de mise à jour.

  Action recommandée : Consulter DLA-4876-1 et appliquer la mise à jour de sécurité Debian pour python-aiohttp.

  Lire la fiche →Source : DLA-4876-1 python-aiohttp – security update ↗
• CVE-2025-69229Non déterminée

  python-aiohttp : consommation CPU excessive avec de nombreux chunks

  Debian a publié un avis de sécurité pour python-aiohttp indiquant que le traitement de messages chunked peut consommer excessivement le processeur lorsqu’un grand nombre de chunks est reçu. Les versions concernées et corrigées ne sont pas précisées dans les informations fournies; consulter l’avis Debian pour les détails.

  Action recommandée : Consulter DLA-4876-1 et appliquer la mise à jour de sécurité Debian pour python-aiohttp.

  Lire la fiche →Source : DLA-4876-1 python-aiohttp – security update ↗
• CVE-2026-22815Non déterminée

  python-aiohttp : consommation mémoire non plafonnée via en-têtes et trailers

  Debian a publié un avis de sécurité pour python-aiohttp signalant une consommation mémoire non plafonnée liée à des restrictions insuffisantes lors du traitement des en-têtes et trailers. Les versions concernées et corrigées ne sont pas précisées dans les informations fournies; consulter l’avis Debian pour les détails.

  Action recommandée : Consulter DLA-4876-1 et appliquer la mise à jour de sécurité Debian pour python-aiohttp.

  Lire la fiche →Source : DLA-4876-1 python-aiohttp – security update ↗
• CVE-2026-34513Non déterminée

  python-aiohttp : cache DNS non borné pouvant épuiser la mémoire

  Debian a publié un avis de sécurité pour python-aiohttp signalant une consommation mémoire excessive susceptible de provoquer un déni de service en raison d’un cache DNS non borné. Les versions concernées et corrigées ne sont pas précisées dans les informations fournies; consulter l’avis Debian pour les détails.

  Action recommandée : Consulter DLA-4876-1 et appliquer la mise à jour de sécurité Debian pour python-aiohttp.

  Lire la fiche →Source : DLA-4876-1 python-aiohttp – security update ↗
• CVE-2026-34514Non déterminée

  python-aiohttp : injection d’en-têtes

  Debian a publié un avis de sécurité pour python-aiohttp signalant une injection d’en-têtes. Les versions concernées et corrigées ainsi que les circonstances précises ne sont pas détaillées dans les informations fournies; consulter l’avis Debian et appliquer la mise à jour.

  Action recommandée : Consulter DLA-4876-1 et appliquer la mise à jour de sécurité Debian pour python-aiohttp.

  Lire la fiche →Source : DLA-4876-1 python-aiohttp – security update ↗
• CVE-2026-34516Non déterminée

  python-aiohttp : déni de service possible via des en-têtes multipart excessifs

  Debian a publié un avis de sécurité pour python-aiohttp signalant un risque de déni de service lié à un nombre excessif d’en-têtes multipart. Les versions concernées et corrigées ne sont pas précisées dans les informations fournies; consulter l’avis Debian pour les détails.

  Action recommandée : Consulter DLA-4876-1 et appliquer la mise à jour de sécurité Debian pour python-aiohttp.

  Lire la fiche →Source : DLA-4876-1 python-aiohttp – security update ↗
• CVE-2026-34517Non déterminée

  python-aiohttp : consommation mémoire excessive lors de la lecture de champs multipart

  Debian a publié un avis de sécurité pour python-aiohttp signalant que certains champs de formulaire multipart peuvent être entièrement lus en mémoire avant la vérification de `client_max_size`. Les versions concernées et corrigées ne sont pas précisées dans les informations fournies; consulter l’avis Debian et appliquer la mise à jour.

  Action recommandée : Consulter DLA-4876-1 et appliquer la mise à jour de sécurité Debian pour python-aiohttp.

  Lire la fiche →Source : DLA-4876-1 python-aiohttp – security update ↗
• CVE-2026-34518Non déterminée

  python-aiohttp : fuite d’en-têtes sensibles lors de redirections inter-origines

  Debian a publié un avis de sécurité pour python-aiohttp signalant la fuite d’en-têtes Cookie et Proxy-Authorization lors de redirections vers une autre origine. Les versions concernées et corrigées ne sont pas précisées dans les informations fournies; consulter l’avis Debian et appliquer la mise à jour.

  Action recommandée : Consulter DLA-4876-1 et appliquer la mise à jour de sécurité Debian pour python-aiohttp.

  Lire la fiche →Source : DLA-4876-1 python-aiohttp – security update ↗
• CVE-2026-34519Non déterminée

  python-aiohttp : injection d’en-têtes via le paramètre reason

  Debian a publié un avis de sécurité pour python-aiohttp signalant une injection d’en-têtes via le paramètre `reason`. Les versions concernées et corrigées ne sont pas précisées dans les informations fournies; consulter l’avis Debian pour les détails de mise à jour.

  Action recommandée : Consulter DLA-4876-1 et appliquer la mise à jour de sécurité Debian pour python-aiohttp.

  Lire la fiche →Source : DLA-4876-1 python-aiohttp – security update ↗
• CVE-2026-34520Non déterminée

  python-aiohttp : contournement possible lié aux caractères de contrôle des en-têtes

  Debian a publié un avis de sécurité pour python-aiohttp signalant un possible contournement de sécurité lié à la vérification des valeurs d’en-tête pour les caractères de contrôle selon RFC 9110. Les versions concernées et corrigées ne sont pas précisées dans les informations fournies; consulter l’avis Debian pour les détails.

  Action recommandée : Consulter DLA-4876-1 et appliquer la mise à jour de sécurité Debian pour python-aiohttp.

  Lire la fiche →Source : DLA-4876-1 python-aiohttp – security update ↗
• CVE-2026-34525Non déterminée

  python-aiohttp : gestion des en-têtes en double

  Debian a publié un avis de sécurité pour python-aiohttp signalant que les en-têtes en double, notamment Host, ne sont pas interdits hors mode permissif. Les versions concernées et corrigées ne sont pas précisées dans les informations fournies; consulter l’avis Debian et appliquer la mise à jour.

  Action recommandée : Consulter DLA-4876-1 et appliquer la mise à jour de sécurité Debian pour python-aiohttp.

  Lire la fiche →Source : DLA-4876-1 python-aiohttp – security update ↗
• CVE-2026-34993Non déterminée

  python-aiohttp : exécution de code arbitraire via CookieJar.load()

  Debian a publié un avis de sécurité pour python-aiohttp signalant une exécution de code arbitraire lors de l’utilisation de `CookieJar.load()` avec une entrée non fiable. Les versions concernées et corrigées ne sont pas précisées dans les informations fournies; ne pas charger de données non fiables et consulter l’avis Debian pour la mise à jour.

  Action recommandée : Consulter DLA-4876-1 et appliquer la mise à jour de sécurité Debian pour python-aiohttp; éviter les entrées non fiables avec `CookieJar.load()`.

  Lire la fiche →Source : DLA-4876-1 python-aiohttp – security update ↗
• CVE-2026-47265Non déterminée

  python-aiohttp : fuite de données possible

  Debian a publié un avis de sécurité pour python-aiohttp signalant une possible fuite de données. Le résumé fourni ne précise ni le mécanisme ni les versions concernées ou corrigées; consulter l’avis Debian pour évaluer l’exposition et appliquer la mise à jour.

  Action recommandée : Consulter DLA-4876-1 et appliquer la mise à jour de sécurité Debian pour python-aiohttp.

  Lire la fiche →Source : DLA-4876-1 python-aiohttp – security update ↗
• CVE-2026-50269Non déterminée

  python-aiohttp : injection d’en-têtes via des en-têtes multipart/payload

  Debian a publié un avis de sécurité pour python-aiohttp signalant qu’une entrée contrôlée par un attaquant dans des en-têtes multipart/payload peut modifier une requête et y injecter des en-têtes supplémentaires. Les versions concernées et corrigées ne sont pas précisées dans les informations fournies; consulter l’avis Debian et appliquer la mise à jour.

  Action recommandée : Consulter DLA-4876-1 et appliquer la mise à jour de sécurité Debian pour python-aiohttp.

  Lire la fiche →Source : DLA-4876-1 python-aiohttp – security update ↗
• CVE-2026-54274Non déterminée

  python-aiohttp : contournement des limites mémoire par des trames WebSocket incomplètes

  Debian a publié un avis de sécurité pour python-aiohttp signalant qu’un serveur peut envoyer de grandes trames WebSocket incomplètes qui contournent les limites habituelles de mémoire. Les versions concernées et corrigées ne sont pas précisées dans les informations fournies; consulter l’avis Debian pour les détails.

  Action recommandée : Consulter DLA-4876-1 et appliquer la mise à jour de sécurité Debian pour python-aiohttp.

  Lire la fiche →Source : DLA-4876-1 python-aiohttp – security update ↗
• CVE-2026-54277Non déterminée

  python-aiohttp : lignes HTTP surdimensionnées pouvant épuiser la mémoire

  Debian a publié un avis de sécurité pour python-aiohttp signalant que l’analyseur HTTP peut accepter des lignes surdimensionnées et consommer une quantité excessive de mémoire. Les versions concernées et corrigées ne sont pas précisées dans les informations fournies; consulter l’avis Debian et appliquer la mise à jour.

  Action recommandée : Consulter DLA-4876-1 et appliquer la mise à jour de sécurité Debian pour python-aiohttp.

  Lire la fiche →Source : DLA-4876-1 python-aiohttp – security update ↗
• CVE-2026-54279Non déterminée

  python-aiohttp : perte de la propriété host-only lors de la sauvegarde des cookies

  Debian a publié un avis de sécurité pour python-aiohttp signalant que des cookies host-only perdent cette propriété après sauvegarde par `CookieJar.save()` puis restauration par `CookieJar.load()`. Les versions concernées et corrigées ne sont pas précisées dans les informations fournies; consulter l’avis Debian et appliquer la mise à jour.

  Action recommandée : Consulter DLA-4876-1 et appliquer la mise à jour de sécurité Debian pour python-aiohttp.

  Lire la fiche →Source : DLA-4876-1 python-aiohttp – security update ↗
• CVE-2026-54280Non déterminée

  python-aiohttp : épuisement de ressources après déconnexion pendant une écriture

  Debian a publié un avis de sécurité pour python-aiohttp signalant un risque d’épuisement des ressources lorsque des ressources de payload ne sont pas correctement fermées après la déconnexion d’un client pendant une écriture. Les versions concernées et corrigées ne sont pas précisées dans les informations fournies; consulter l’avis Debian pour les détails.

  Action recommandée : Consulter DLA-4876-1 et appliquer la mise à jour de sécurité Debian pour python-aiohttp.

  Lire la fiche →Source : DLA-4876-1 python-aiohttp – security update ↗
• CVE-2026-59881Non déterminée

  python-aiohttp : décompression WebSocket sans négociation de permessage-deflate

  Debian a publié un avis de sécurité pour python-aiohttp signalant que le client WebSocket accepte et décompresse des trames avec le bit RSV1 actif même si l’extension permessage-deflate n’a pas été négociée. Un serveur malveillant peut ainsi provoquer une consommation inattendue de CPU et de mémoire; les versions corrigées ne sont pas précisées dans les informations fournies.

  Action recommandée : Consulter DLA-4876-1 et appliquer la mise à jour de sécurité Debian pour python-aiohttp.

  Lire la fiche →Source : DLA-4876-1 python-aiohttp – security update ↗
• CVE-2026-69243Non déterminée

  python-aiohttp : désynchronisation de requêtes liée aux mises à niveau WebSocket

  Debian a publié un avis de sécurité pour python-aiohttp signalant une vulnérabilité de désynchronisation de requêtes liée aux mises à niveau WebSocket dans les analyseurs HTTP. Les versions concernées et corrigées ne sont pas précisées dans les informations fournies; consulter l’avis Debian pour les détails de mise à jour.

  Action recommandée : Consulter DLA-4876-1 et appliquer la mise à jour de sécurité Debian pour python-aiohttp.

  Lire la fiche →Source : DLA-4876-1 python-aiohttp – security update ↗