Le journal DFS
CMS & e-commerce
-
XSS stockée dans le plugin WordPress NewStatPress
P3 · Élevée · CVE-2026-100153 — NewStatPress contient une XSS stockée exploitable sans authentification via QUERY_STRING/REQUEST_URI, dans les pages publiques utilisant le shortcode [NewStatPress type= »Top Pages »].…
-
Inclusion locale de fichier dans LifterLMS via le shortcode checkout
P3 · Élevée · CVE-2026-110284 — La fiche NVD publiée le 14 octobre 2026 décrit une inclusion locale de fichier dans LifterLMS, affectant les versions jusqu’à…
-
Inclusion de fichier local dans BP Profile Search
P3 · Élevée · CVE-2026-104995 — BP Profile Search peut inclure un fichier local à partir d’une valeur de modèle contrôlée par le client dans une…
-
XSS réfléchie dans Hippoo Mobile App for WooCommerce
P3 · Élevée · CVE-2026-108483 — La fiche NVD décrit une XSS réfléchie dans Hippoo Mobile App for WooCommerce, affectant les versions jusqu’à 1.12.0. La source…
-
CVE-2026-103358 : injection de code dans Email Template Customizer for WooCommerce
P3 · Élevée · CVE-2026-103358 — Une vulnérabilité de type injection de code a été signalée dans Email Template Customizer for WooCommerce de VillaTheme, pour les…
-
Escalade de privilèges dans Membership & User Roles for WooCommerce
P3 · Élevée · CVE-2026-104767 — Le plugin Membership & User Roles for WooCommerce peut réattribuer un rôle auparavant révoqué, y compris le rôle Administrateur, à…
-
Injection SQL dans JTL-Connector for WooCommerce
P3 · Élevée · CVE-2026-78193 — JTL-Connector for WooCommerce présente une injection SQL temporelle non authentifiée sur le point de liaison d’identité product.push. Sont concernées les…
-
Injection SQL dans Abandoned Cart Pro for WooCommerce
P3 · Élevée · CVE-2026-102251 — Abandoned Cart Pro for WooCommerce présente une injection SQL via le paramètre validate. La fiche indique qu’un attaquant non authentifié…
-
Suppression arbitraire de fichiers via File Upload to Order
P3 · Critique · CVE-2026-107594 — File Upload to Order ne valide pas et ne confine pas un chemin de fichier issu de données de session…
-
SimpleForm : création non authentifiée de comptes administrateurs
P3 · Critique · CVE-2026-104748 — SimpleForm permet à un attaquant non authentifié de créer un compte WordPress avec des privilèges d’administrateur. Toutes les versions jusqu’à…