Le journal DFS
CMS & e-commerce
-
LatePoint : exécution de shortcodes arbitraires via le parcours de réservation
P3 · Critique · CVE-2026-92966 — LatePoint jusqu’à la version 5.7.0 permet à un attaquant non authentifié de provoquer l’exécution de shortcodes arbitraires en exploitant le…
-
CVE-2026-27085 : injection de contenu dans le thème Astra
P4 · Faible · CVE-2026-27085 — La fiche NVD signale une injection de contenu dans le thème Astra, accessible à un gestionnaire de boutique. Les versions…
-
Media Library Organizer : création de termes sans autorisation suffisante
P4 · Faible · CVE-2026-94297 — Media Library Organizer ne vérifie pas que l’utilisateur dispose des capacités nécessaires pour gérer la taxonomie ciblée avant de créer…
-
Safe Redirect Manager : redirection vers un site externe arbitraire
P4 · Faible · CVE-2026-88791 — Lorsqu’une règle de redirection générique vers une URL absolue est configurée, la destination n’est pas correctement validée. Un attaquant non…
-
Schema & Structured Data for WP & AMP : injection de scripts sur multisite
P4 · Faible · CVE-2026-82127 — Schema & Structured Data for WP & AMP ne contrôle pas les capacités lors de l’enregistrement de plusieurs champs et…
-
Broken Link Notifier : contournement du filtre d’adresses internes
P4 · Moyenne · CVE-2026-97316 — Broken Link Notifier ne revalide pas la destination des redirections lorsqu’il vérifie des liens, ce qui permet de contourner son…
-
Course Booking System : export non protégé de données clients
P4 · Moyenne · CVE-2026-96886 — Course Booking System ne restreint pas l’accès à l’export des réservations. Un utilisateur non authentifié peut télécharger les noms, adresses…
-
YayReviews : exposition d’avis et de données personnelles
P4 · Moyenne · CVE-2026-94274 — YayReviews expose sans restriction une route d’API qui renvoie les avis individuels, y compris ceux en attente de modération. Des…
-
InPost PL : falsification possible des statuts d’expédition
P4 · Moyenne · CVE-2026-93580 — InPost PL ne vérifie pas l’authenticité des requêtes de webhook de suivi d’expédition et se repose sur un identifiant non…
-
Content Egg : XSS persistante via l’import groupé de contenu
P4 · Moyenne · CVE-2026-92424 — Content Egg ne vérifie pas que l’utilisateur qui lance l’import groupé est autorisé à utiliser le preset choisi et adopte…