Le journal DFS
Sécurité
-
Modification non autorisée de mots de passe dans Dokan
P4 · Moyenne · CVE-2026-89280 — Le plugin Dokan présente une référence directe non sécurisée permettant à un vendeur authentifié de modifier le mot de passe…
-
XSS stockée dans Tourfic via les commentaires WooCommerce
P4 · Moyenne · CVE-2026-97470 — Tourfic contient une XSS stockée liée au contenu des commentaires et à l’attribution de `unfiltered_html` au rôle Customer, dans les…
-
CVE-2026-111409 : défaut d’autorisation dans YITH PayPal Express Checkout
P4 · Moyenne · CVE-2026-111409 — YITH PayPal Express Checkout for WooCommerce présente un défaut d’autorisation affectant les versions jusqu’à 1.61.0 incluse. La fiche fournie ne…
-
XSS stockée dans FiboSearch
P4 · Moyenne · CVE-2026-100106 — FiboSearch – Ajax Search for WooCommerce jusqu’à la version 1.34.2 incluse présente une XSS stockée via le paramètre `purchased_plan`. Un…
-
Craftplan : création non autorisée de clients via GraphQL
P4 · Moyenne · CVE-2026-111349 — Craftplan jusqu’à la version 0.7.5 ne vérifie pas correctement l’autorisation de créer des clients dans la ressource CRM Customer. Un…
-
CVE-2026-62362 — Injection SQL dans PeerBanHelper, y compris avec le mapper PostgreSQL
P4 · Moyenne · CVE-2026-62362 — Une injection SQL dans l’endpoint `/api/statistic/analysis/field` de PeerBanHelper permet à un utilisateur authentifié d’interroger les données de la base, y…
-
Exposition d’identifiants MySQL dans HUSKY Products Filter
P4 · Moyenne · CVE-2026-107646 — HUSKY – Products Filter for WooCommerce Professional jusqu’à la version 1.4.5 incluse peut exposer des identifiants de base de données…
-
Arcane : contournement du contrôle administrateur sur les routes pprof
P4 · Moyenne · CVE-2026-96628 — Dans Arcane 2.10.2, un jeton d’accès d’environnement valide peut contourner le contrôle réservé aux administrateurs sur les routes `/api/debug/pprof/*`. Les…
-
Junrar : déni de service par boucle infinie lors du traitement d’une archive RAR4
P3 · Élevée · CVE-2026-97370 — Junrar peut rester bloqué dans une boucle consommant du processeur lors du traitement d’une archive RAR4 spécialement conçue, ce qui…
-
JavaCV : boucle infinie et déni de service dans IPCameraFrameGrabber
P3 · Élevée · CVE-2026-102834 — JavaCV peut entrer dans une boucle infinie consommant le processeur lorsqu’il traite un flux MJPEG dont l’en-tête Content-Length est excessif,…