Le journal DFS
Sécurité
-
Subscriptions for WooCommerce : contournement des restrictions de contenu
P4 · CVE-2026-87856 — Subscriptions for WooCommerce applique ses restrictions de contenu aux seules consultations ordinaires du site frontal, laissant d’autres routes révéler le contenu complet…
-
CVE-2026-107775 : contrôle d’autorisation insuffisant pour les vendeurs dans Dokan
P4 · CVE-2026-107775 — Dokan avant la version 5.3.3 ne vérifie pas correctement qu’un administrateur de sous-site WordPress Multisite peut gérer chaque utilisateur sélectionné avant de…
-
CVE-2026-107774 : usurpation de l’adresse d’expéditeur dans Dokan
P4 · CVE-2026-107774 — Dokan avant la version 5.3.3 utilise l’adresse fournie par un visiteur non authentifié comme expéditeur d’un message transmis aux vendeurs. Cela peut…
-
Multiples vulnérabilités dans MongoDB
P4 — Le CERT-FR a publié le 5 novembre 2026 un avis signalant plusieurs vulnérabilités dans MongoDB, avec des risques pouvant inclure l’exécution de code à…
-
Injection SQL dans Apache OFBiz sur MySQL/MariaDB
P4 · CVE-2026-81815 — Apache OFBiz présente une injection SQL dans le service générique performFind de son moteur d’entités lorsque le déploiement utilise MySQL ou MariaDB.…
-
nvm : exécution de commandes via une valeur LTS malveillante
P4 · Faible · CVE-2026-121751 — Dans nvm 0.39.6 à 0.40.8, des valeurs reçues depuis l’index d’un miroir Node.js pouvaient être évaluées comme expressions arithmétiques shell…
-
nvm : archive rejetée réutilisable depuis le cache hors ligne
P4 · Faible · CVE-2026-121750 — Dans nvm 0.40.5 à 0.40.8, une archive dont la somme de contrôle échouait pouvait rester dans le cache puis être…
-
nvm : modification de fichiers de configuration détournée par .npmrc
P4 · Faible · CVE-2026-121748 — Dans nvm 0.27.0 à 0.40.8, `nvm use –delete-prefix` pouvait laisser le fichier `.npmrc` du projet déterminer quel fichier de configuration…
-
nvm : divulgation locale du jeton NVM_AUTH_HEADER
P4 · Faible · CVE-2026-121745 — Dans nvm 0.40.0 à 0.40.8, lorsque NVM_AUTH_HEADER est défini, le jeton d’accès pouvait apparaître dans les arguments de curl ou…
-
Dokan : incohérence de rapprochement des paiements de commissions
P4 · Faible · CVE-2026-107776 — Dokan ne rapproche pas le montant porté au crédit du registre de retrait inversé d’un vendeur du montant réellement perçu…