Le journal DFS
CMS & e-commerce
-
Product Feed for WooCommerce Merchant : secret de boutique remplaçable sans authentification
P4 · Moyenne · CVE-2026-87968 — Une action AJAX de Product Feed for Google Shopping, Microsoft Advertising and 40+ Channels for WooCommerce Merchant ne comporte ni…
-
Trust Payments Gateway for WooCommerce : commandes validées sans paiement
P4 · Moyenne · CVE-2026-87843 — Trust Payments Gateway for WooCommerce ne vérifie pas l’authenticité de la réponse renvoyée après un paiement hébergé, ne la lie…
-
CodeAtoZ B2B Suite : accès indu aux devis d’invités
P4 · Moyenne · CVE-2026-105969 — CodeAtoZ B2B Suite for WooCommerce avant la version 1.6.1 ne contrôle pas suffisamment l’accès aux devis soumis en tant qu’invité.…
-
Hyyan WooCommerce Polylang Integration : injection SQL
P4 · Moyenne · CVE-2026-101926 — Hyyan WooCommerce Polylang Integration jusqu’à la version 1.5.0 incluse est vulnérable à une injection SQL via l’action AJAX woocommerce_remove_variations. Un…
-
affiliate-toolkit : exécution de code PHP via un modèle fourni par un utilisateur
P3 · Élevée · CVE-2026-86787 — Dans affiliate-toolkit, un utilisateur ayant au moins le rôle Contributor peut fournir un modèle que le moteur de rendu embarqué…
-
Inclusion et lecture de fichiers locaux dans Ultimate Multisite
P3 · Élevée · CVE-2026-107508 — Ultimate Multisite ne valide pas une valeur fournie par l’utilisateur qui sert à sélectionner un fichier à inclure. Un attaquant…
-
Forms : injection de script dans l’écran d’administration des soumissions
P3 · Élevée · CVE-2026-86799 — Forms ne nettoie pas les valeurs soumises avant leur stockage et ne les échappe pas sur l’écran d’administration des soumissions.…
-
XSS stockée dans WP Booking System
P3 · Élevée · CVE-2026-107126 — WP Booking System stocke puis affiche dans une page d’administration une valeur de requête contrôlable par le client sans la…
-
Walletdoc Payment Gateway : injection SQL et validation de paiement insuffisante
P3 · Élevée · CVE-2026-103307 — Walletdoc Payment Gateway for WooCommerce avant la version 1.8.5 ne protège pas correctement une requête SQL et utilise par défaut…
-
FV Flowplayer Video Player : téléversement de fichiers insuffisamment contrôlé
P3 · Élevée · CVE-2026-86461 — FV Flowplayer Video Player présente une validation insuffisante du type de fichier lors du téléversement. Toutes les versions jusqu’à 7.5.54.7212…