Le journal DFS
CMS & e-commerce
-
XSS réfléchie dans WooCommerce Extra Product Options Pro
P4 · Moyenne · CVE-2026-104926 — WooCommerce Extra Product Options Pro présente une XSS réfléchie via les paramètres `_start` et `_end` jusqu’à la version 3.3.2 incluse.…
-
CVE-2026-63115 — contournement d’autorisation lors d’activités Undo dans Ghost ActivityPub
P4 · Moyenne · CVE-2026-63115 — Dans le serveur ActivityPub pour Ghost, un serveur fédéré distant pouvait envoyer une activité `Undo` et faire supprimer un lien…
-
Mapster WP Maps : écritures non autorisées via une route REST
P3 · Élevée · CVE-2026-118638 — Mapster WP Maps, avant la version 2.0.6, expose une route REST qui écrit des données de publication sans contrôle d’autorisation.…
-
Security Optimizer : contournement du second facteur par essais répétés
P3 · Élevée · CVE-2026-118185 — Security Optimizer, avant la version 1.6.9, ne limite pas le nombre de codes d’authentification à deux facteurs soumis lors d’une…
-
Meow Lightbox — XSS persistante sous conditions (CVE-2026-109234)
P3 · Élevée · CVE-2026-109234 — Le module WordPress Meow Lightbox présentait une XSS persistante via le contenu de réponses bbPress, permettant l’exécution de scripts dans…
-
Exécution de code à distance dans NextGEN Gallery
P3 · Élevée · CVE-2026-76010 — NextGEN Gallery présente une vulnérabilité d’exécution de code à distance dans toutes les versions jusqu’à 4.4.1 incluse, via la fonction…
-
XSS stockée dans Debug Log Manager
P3 · Élevée · CVE-2026-120114 — Debug Log Manager est vulnérable à une XSS stockée via les paramètres `message` et `pageUrl` jusqu’à la version 2.5.2 incluse.…
-
Injection SQL dans WP Directory Kit
P3 · Élevée · CVE-2026-109197 — WP Directory Kit présente une injection SQL via le paramètre `idfield` jusqu’à la version 1.6.0 incluse. Un attaquant non authentifié…
-
XSS stockée dans WP Activity Log
P3 · Élevée · CVE-2026-120075 — WP Activity Log présente une XSS stockée dans toutes les versions jusqu’à 5.6.1 incluse. La source indique qu’un attaquant non…
-
XSS stockée via les flux syndiqués dans FeedWordPress
P3 · Élevée · CVE-2026-110530 — FeedWordPress présente une vulnérabilité XSS stockée dans toutes les versions jusqu’à 2026.0517 incluse. Un attaquant contrôlant un flux RSS ou…