Le journal DFS
CMS & e-commerce
-
User Private Files : accès non autorisé aux fichiers privés sur multisite
P4 · CVE-2026-97332 — User Private Files avant 2.2.0 protège mal les fichiers privés sur les installations multisites : la règle de réécriture chargée de faire…
-
CoCart : protection nonce REST désactivée globalement
P4 · CVE-2026-93549 — CoCart avant 4.9.7 applique son filtre d’authentification REST sans le limiter à ses propres endpoints, ce qui désactive la protection par nonce…
-
Five Star Business Profile and Schema : divulgation de données sensibles
P4 · CVE-2026-86817 — Five Star Business Profile and Schema avant 2.4.0 restreint insuffisamment les callbacks utilisés pour résoudre les valeurs par défaut des champs Schema.…
-
Horizontal scrolling announcements : XSS stocké dans une annonce
P4 · CVE-2026-17005 — Horizontal scrolling announcements jusqu’à la version 2.6 ne nettoie ni n’échappe un réglage d’annonce avant de l’insérer dans un attribut côté public.…
-
Simple Shopping Cart : XSS stocké dans les réglages d’administration
P4 · CVE-2026-104119 — Simple Shopping Cart avant 5.2.6 n’échappe pas certaines valeurs de réglages affichées dans une page d’administration. Des utilisateurs disposant de privilèges élevés…
-
Razorpay for WooCommerce : modification non autorisée des informations de livraison
P4 · Moyenne · CVE-2026-104118 — Le plugin Razorpay for WooCommerce avant 4.8.8 ne vérifie pas correctement l’autorisation sur une route REST du paiement. Un attaquant…
-
Otter Blocks : exposition d’informations sur les soumissions de formulaires
P4 · Faible · CVE-2026-102002 — CVE-2026-102002 affecte Otter Blocks jusqu’à la version 3.2.6 incluse : le paramètre « otter_form_widget_filter » expose des informations sur les…
-
Contrôle d’autorisation insuffisant dans Motors
P4 · Faible · CVE-2026-91023 — Motors vérifie insuffisamment les droits lors d’une action de gestion d’annonce, permettant à des utilisateurs authentifiés de niveau abonné ou…
-
Ghost — divulgation de l’ordre relatif des empreintes via l’Admin API
P4 · Faible · CVE-2026-104415 — L’Admin API de Ghost permet à des utilisateurs du personnel authentifiés d’inférer l’ordre relatif des empreintes de mots de passe…
-
Paytm Payment Gateway : validation insuffisante des rappels de paiement
P4 · Moyenne · CVE-2026-81740 — Paytm Payment Gateway avant la version 2.8.9 ne vérifie pas l’authenticité des rappels de paiement lorsque la clé secrète n’a…