Le journal DFS
CMS & e-commerce
-
Code malveillant dans wix-ssr-thunderbolt-grid-polyfill
P4 — L’avis GitHub décrit wix-ssr-thunderbolt-grid-polyfill@0.1.0 comme un paquet malveillant qui collecte des informations sur l’environnement SSR, le système de fichiers et le réseau, puis les…
-
Code malveillant dans css-reading-display-polyfill
P4 — L’avis signale que css-reading-display-polyfill@1.0.0 exécute à son chargement des commandes de collecte d’informations système et transmet notamment des variables d’environnement à un collecteur externe.…
-
SMS Alert : divulgation de numéros de téléphone dans un réseau multisite
P4 · Faible · CVE-2026-94258 — SMS Alert avant 4.0.1 ne vérifie pas que l’administrateur qui demande les numéros de téléphone est autorisé à gérer les…
-
Appointment Booking Plugin : suppression non autorisée d’enregistrements
P4 · Faible · CVE-2026-105197 — Avant la version 5.6.5, Appointment Booking Plugin ne vérifie pas qu’un utilisateur du personnel est autorisé à supprimer l’enregistrement ciblé.…
-
Appointment Booking Plugin : contrôle d’accès insuffisant dans l’API AI Abilities
P4 · Faible · CVE-2026-105196 — Avant la version 5.6.9, Appointment Booking Plugin ne vérifie pas correctement l’autorisation sur les enregistrements visés par plusieurs actions de…
-
Booking Calendar : divulgation d’options WordPress
P4 · Faible · CVE-2026-105195 — Avant la version 11.8.3, Booking Calendar ne restreint pas suffisamment les options qu’un utilisateur de faible privilège peut charger via…
-
Final Tiles Grid : contrôles d’autorisation insuffisants
P4 · Faible · CVE-2026-104645 — Image Photo Gallery Final Tiles Grid avant la version 3.6.14 vérifie incorrectement les autorisations sur plusieurs opérations de gestion des…
-
Easy Digital Downloads : création de comptes malgré les inscriptions désactivées
P4 · Moyenne · CVE-2026-105190 — Easy Digital Downloads avant 3.7.1 peut créer un compte WordPress sans tenir compte du réglage qui désactive les inscriptions. Un…
-
TutorStarter : création de comptes malgré la désactivation des inscriptions
P4 · Moyenne · CVE-2026-104671 — Le thème TutorStarter avant 4.0.4 ne respecte pas le réglage du site qui désactive l’inscription des utilisateurs dans l’un de…
-
Airwallex Online Payments Gateway : falsification de notifications de paiement
P4 · Moyenne · CVE-2026-103517 — Airwallex Online Payments Gateway avant 1.36.0 ne vérifie pas l’authenticité des notifications de paiement lorsque aucun secret de webhook n’est…