Le journal DFS
CMS & e-commerce
-
BuildKit : injection SQL stockée via du contenu de Contributeur
P4 · Moyenne · CVE-2026-94298 — BuildKit avant la version 1.0.29 ne nettoie ni n’échappe correctement des données soumises par des Contributeurs avant leur stockage puis…
-
XSS dans le paramètre de badge d’annonce de Motors
P4 · Moyenne · CVE-2026-91022 — Motors ne nettoie ni n’échappe correctement un paramètre de badge d’annonce avant son insertion dans un attribut HTML, ce qui…
-
Accès non autorisé aux demandes de devis dans Request a Quote
P4 · Moyenne · CVE-2026-90988 — Request a Quote ne contrôle pas l’autorisation dans l’un de ses gestionnaires AJAX accessibles sans authentification, ce qui permet de…
-
XSS stockée dans Unlimited Elements for Elementor
P4 · Moyenne · CVE-2026-85016 — Unlimited Elements for Elementor ne protège pas correctement une valeur d’icône avant son insertion dans un attribut HTML, permettant à…
-
Contrôle de capacité manquant dans Popup Maker
P4 · Moyenne · CVE-2026-85004 — Popup Maker ne vérifie pas les capacités de l’utilisateur lors d’une action de connexion de compte et se contente de…
-
XSS dans les onglets de produits WooCommerce de Tabs Responsive
P4 · Moyenne · CVE-2026-13718 — Le plugin WordPress Tabs Responsive jusqu’à la version 2.5 ne sanitise pas le contenu des onglets de produits WooCommerce avant…
-
WebToffee Gift Cards for WooCommerce : montant de carte cadeau non validé
P4 · Moyenne · CVE-2026-91020 — CVE-2026-91020 affecte WebToffee Gift Cards for WooCommerce avant la version 1.3.1 : le montant d’une carte cadeau fourni par l’utilisateur…
-
XSS réfléchie dans le thème Avada pour WordPress
P4 · Moyenne · CVE-2026-84925 — Avada contient une faille XSS réfléchie via le paramètre `lang`, exploitable sans authentification si un utilisateur est amené à cliquer…
-
Dc Woocommerce Multi Vendor : injection SQL dans le point de terminaison REST
P4 · Moyenne · CVE-2026-12951 — CVE-2026-12951 concerne Dc Woocommerce Multi Vendor jusqu’à la version 5.0.18 incluse : le paramètre « order_by » du point de…
-
Ghost — attribution non autorisée de rôles au personnel
P4 · Moyenne · CVE-2026-104412 — Dans Ghost, des utilisateurs ayant le rôle Editor ou Super Editor peuvent attribuer leur rôle à d’autres membres du personnel…