Le journal DFS
CMS & e-commerce
-
Chat AI with Dispatcher : téléversement de fichiers arbitraires sans authentification
P3 · Critique · CVE-2026-115245 — Chat AI with Dispatcher avant la version 2.4 se fie uniquement au type de contenu fourni par le client pour…
-
Automated Import Products to Cart : lecture et suppression de fichiers arbitraires
P3 · Critique · CVE-2026-113617 — Automated Import Products to Cart avant la version 1.0.4 n’assainit pas un chemin de fichier fourni par l’utilisateur avant de…
-
LogixFast Auth : réinitialisation de mot de passe par envoi du code à une adresse arbitraire
P3 · Critique · CVE-2026-113616 — LogixFast Auth avant la version 1.0.4 envoie le code à usage unique de réinitialisation du mot de passe à l’adresse…
-
CVE-2026-103693 — injection d’objet PHP dans Frontend Dashboard et ProfileGrid
P3 · Critique · CVE-2026-103693 — Les plugins Frontend Dashboard et ProfileGrid permettent à un utilisateur non authentifié de stocker un objet PHP sérialisé dans les…
-
GEO my WordPress : injection d’objets PHP sans authentification
P3 · Critique · CVE-2026-61992 — GEO my WordPress présente une injection d’objets PHP accessible sans authentification. Les versions affectées vont jusqu’à 4.5.5.3 incluse ; les…
-
Bot for Telegram on WooCommerce : contournement d’authentification et prise de compte
P3 · Critique · CVE-2026-109516 — Bot for Telegram on WooCommerce pour WordPress permettait de contourner l’authentification et de prendre le contrôle d’un compte. Un attaquant…
-
WordPress : exploitation active signalée pour une RCE pendant les mises à niveau
P1 · Élevée · CVE-2026-119977 — Wordfence rapporte le 2026-11-05 que des attaquants ciblent activement CVE-2026-119977 et que son pare-feu a bloqué plus de 240 000…
-
WordPress 7.1.4 corrige plusieurs problèmes de sécurité
P4 — WordPress a publié la version 7.1.4 comme mise à jour de sécurité, corrigeant plusieurs problèmes du cœur, dont des XSS stockées, un risque d’exécution…
-
GeoDirectory : divulgation de listings non publics
P4 · Faible · CVE-2026-113494 — La fiche NVD publiée le 28 octobre signale que GeoDirectory ne vérifie ni le statut ni la propriété d’un listing…
-
Royal MCP : accès et publication de pages sans autorisation adéquate
P4 · Faible · CVE-2026-111961 — Royal MCP avant 1.5.10 ne vérifie pas les permissions portant sur la page demandée avant de la dupliquer. Un utilisateur…