Le journal DFS
CMS & e-commerce
-
Contact Form Extender for Divi Builder : suppression de fichiers sans authentification
P3 · Élevée · CVE-2026-120559 — Contact Form Extender for Divi Builder permet la suppression de fichiers arbitraires en raison d’une validation insuffisante des chemins. Toutes…
-
Advanced Shipment Tracking : injection SQL via l’API REST
P3 · Élevée · CVE-2026-120558 — Advanced Shipment Tracking for WooCommerce comporte une injection SQL dans le paramètre « tracking_provider » de son point de terminaison…
-
Headless CMS Plugin : divulgation d’informations via l’API REST
P3 · Moyenne · CVE-2026-121509 — Headless CMS Plugin jusqu’à la version 2.0.4 présente une divulgation d’informations dans la route REST /wp-json/rae/v1/post, via la fonction get_required_post_data…
-
ACF: Extended PRO : injection de code dans render_field
P3 · Critique · CVE-2026-120534 — Advanced Custom Fields: Extended PRO, jusqu’à la version 0.9.2.6 incluse, présente une injection de code limitée dans la fonction render_field.…
-
BuddyPress XProfile Image Field : suppression arbitraire de fichiers
P3 · Critique · CVE-2026-120518 — BuddyPress XProfile Image Field, jusqu’à la version 3.1.0 incluse, peut supprimer un fichier arbitraire à partir de métadonnées de profil…
-
Exécution de code à distance dans s2Member
P3 · Critique · CVE-2026-86596 — Le plugin s2Member pour WordPress présente une vulnérabilité d’exécution de code à distance jusqu’à la version 260927 incluse. Mettre à…
-
Accès inter-comptes aux annonces dans DJ-Classifieds
P4 · Moyenne · CVE-2026-105605 — Une vulnérabilité IDOR dans DJ-Classifieds permet à tout utilisateur connecté d’accéder au contenu d’annonces appartenant à d’autres comptes, y compris…
-
XSS réfléchie dans l’extension Joomla StageIt
P4 · Moyenne · CVE-2026-105601 — StageIt présente une vulnérabilité XSS réfléchie dans les versions 1.0 à 5.7.5 et 6.0 à 6.3.5. La fiche fournie ne…
-
Contournement des paramètres de confidentialité dans Users Anywhere
P4 · Moyenne · CVE-2026-102801 — Des attributs de balise peuvent contourner le réglage de Users Anywhere qui contrôle l’affichage des adresses e-mail ou des noms…
-
PayHere Payment Gateway : notifications de paiement falsifiables si le secret marchand est absent
P4 · Moyenne · CVE-2026-103310 — CVE-2026-103310 concerne PayHere Payment Gateway pour WordPress : lorsque le secret marchand n’est pas configuré, les notifications de paiement ne…