Le journal DFS
Sécurité
-
Réutilisation de jeton et exposition de données dans Germanized for WooCommerce
P4 · Moyenne · CVE-2026-109231 — Germanized for WooCommerce est vulnérable à une exposition non autorisée de données privées par réutilisation du jeton d’activation, jusqu’à la…
-
XSS stockée dans FlexStock
P4 · Moyenne · CVE-2026-107711 — FlexStock est vulnérable à une XSS stockée via `products[].post_content` jusqu’à la version 3.17.2 incluse. Un utilisateur authentifié ayant le rôle…
-
XSS réfléchie dans WooCommerce Extra Product Options Pro
P4 · Moyenne · CVE-2026-104926 — WooCommerce Extra Product Options Pro présente une XSS réfléchie via les paramètres `_start` et `_end` jusqu’à la version 3.3.2 incluse.…
-
Coop : création non authentifiée d’organisations via GraphQL
P4 · Moyenne · CVE-2026-63399 — Avant la version 1.0.0, la mutation GraphQL `createOrg` permettait à un acteur non authentifié de créer des organisations sur une…
-
CVE-2026-63115 — contournement d’autorisation lors d’activités Undo dans Ghost ActivityPub
P4 · Moyenne · CVE-2026-63115 — Dans le serveur ActivityPub pour Ghost, un serveur fédéré distant pouvait envoyer une activité `Undo` et faire supprimer un lien…
-
TAKO AI Agent for Okta — exécution de code Python par un utilisateur authentifié
P3 · Élevée · CVE-2026-63378 — TAKO AI Agent for Okta permet à un utilisateur authentifié disposant d’un cookie `fctr_session` d’envoyer du code Python qui contourne…
-
Aedes : arrêt du broker par topic MQTT excessivement profond
P3 · Élevée · CVE-2026-63341 — Aedes avant 1.1.1 ne limite pas la profondeur ni la complexité des topics MQTT, ce qui peut provoquer une exception…
-
Mapster WP Maps : écritures non autorisées via une route REST
P3 · Élevée · CVE-2026-118638 — Mapster WP Maps, avant la version 2.0.6, expose une route REST qui écrit des données de publication sans contrôle d’autorisation.…
-
Security Optimizer : contournement du second facteur par essais répétés
P3 · Élevée · CVE-2026-118185 — Security Optimizer, avant la version 1.6.9, ne limite pas le nombre de codes d’authentification à deux facteurs soumis lors d’une…
-
Kubeflow Pipelines : accès non autorisé aux journaux d’exécution
P3 · Élevée · CVE-2026-118759 — Le point de terminaison des journaux d’exécution de Kubeflow Pipelines ne vérifie pas que l’appelant est autorisé à lire les…