Le journal DFS
CMS & e-commerce
-
Blacklist Manager for WooCommerce : contournement du blocage à l’authentification
P4 · Moyenne · CVE-2026-88828 — Blacklist Manager for WooCommerce n’applique pas le blocage d’un utilisateur à tous les parcours d’authentification. Le titulaire d’un compte bloqué…
-
Modules Anywhere Pro : lecture de fichiers locaux et SSRF via remplacement de paramètres
P3 · Élevée · CVE-2026-100750 — Modules Anywhere Pro permettait à des attributs de balise de remplacer des paramètres de module sans vérifier l’auteur du contenu,…
-
Tabs & Accordions Pro : XSS stockée par URL non filtrée
P3 · Élevée · CVE-2026-100751 — Tabs & Accordions Pro acceptait une URL fournie pour un élément et la transmettait à window.open() sans bloquer les schémas…
-
ConvertPlus : injection d’objet PHP désérialisé depuis un compte Subscriber
P3 · Élevée · CVE-2026-87741 — ConvertPlus permet à un utilisateur authentifié disposant au minimum du rôle Subscriber d’injecter un objet PHP désérialisé via le paramètre…
-
Book Library (Free) : injection SQL dans les paramètres de tri
P3 · Critique · CVE-2026-101110 — Book Library (Free) construisait une clause ORDER BY avec des paramètres field et direction contrôlés par la requête ; le…
-
Vehicle Manager (Free) : injection SQL non authentifiée
P3 · Critique · CVE-2026-101108 — Vehicle Manager (Free) utilisait des paramètres de tri contrôlables dans une clause ORDER BY non délimitée, rendant possible une injection…
-
Real Estate Manager (Free) : injection SQL non authentifiée
P3 · Critique · CVE-2026-100752 — Real Estate Manager (Free) construisait des clauses ORDER BY à partir du paramètre de requête order_field sans liste d’autorisation ni…
-
WordPress — WPeMatico : XSS persistante par import de flux
P4 · CVE-2026-89006 — WPeMatico ne nettoie pas le contenu des flux importés avant de l’enregistrer comme contenu d’article. Un utilisateur disposant du rôle contributeur ou…
-
WordPress — EmbedPress : XSS persistante dans un bloc Instagram
P4 · CVE-2026-85002 — EmbedPress insère un attribut de bloc dans la page sans échappement approprié. Un contributeur ou utilisateur plus privilégié peut stocker un script…
-
WordPress — Optima Express IDX : XSS persistante depuis l’API REST
P4 · CVE-2026-96899 — Optima Express IDX enregistre une valeur de script reçue par un point d’accès REST sans la neutraliser correctement. Un utilisateur doté du…