Le journal DFS
CMS & e-commerce
-
Welcart e-Commerce : contrôle d’accès insuffisant aux données SKU
P4 · Faible · CVE-2026-111032 — Welcart e-Commerce avant 2.12.6 contrôle les permissions sans les rattacher au produit visé lors de changements de SKU. Tout utilisateur…
-
Page Builder by SiteOrigin : lecture de publications non publiques via Post Loop
P4 · Faible · CVE-2026-110507 — Le widget Post Loop de Page Builder by SiteOrigin ne restreint pas les arguments de requête et ne limite pas…
-
Royal Addons for Elementor : détournement de la destination des formulaires
P4 · Faible · CVE-2026-106647 — CVE-2026-106647 concerne Royal Addons for Elementor avant la version 1.7.1070. Un utilisateur ayant le rôle Auteur ou supérieur peut remplacer…
-
iCagenda — injection de formule dans l’export CSV des inscriptions
P4 · Moyenne · CVE-2026-102799 — Une injection de formule CSV affecte l’export des inscriptions dans iCagenda. Le fournisseur indique que le problème est corrigé dans…
-
Ninja Forms : validation incomplète pouvant entraîner une injection CSV
P4 · Moyenne · CVE-2026-67187 — Ninja Forms ne valide pas suffisamment côté serveur certaines valeurs soumises dans des champs de type cases à cocher, listes…
-
Smart Popup by Supsystic : injection de modèle côté serveur
P4 · Moyenne · CVE-2026-115223 — Smart Popup by Supsystic ne bloque pas certains contenus d’injection de modèle stockés dans un bloc de texte de popup,…
-
Essential Addons for Elementor : contournement de l’approbation des inscriptions
P4 · Moyenne · CVE-2026-110508 — Essential Addons for Elementor n’applique pas l’exigence d’approbation par un administrateur aux comptes créés par le parcours d’inscription utilisant un…
-
Royal Elementor Addons : validation insuffisante des destinataires de courriels
P4 · Moyenne · CVE-2026-106648 — Royal Elementor Addons ne valide pas les valeurs de champs soumises avant de les utiliser dans les destinataires des courriels…
-
WP Inventory Manager : injection SQL temporelle via un shortcode
P4 · Moyenne · CVE-2026-76005 — WP Inventory Manager est vulnérable à une injection SQL temporelle via l’attribut sort_order du shortcode wpinventory_categories, exploitable par un utilisateur…
-
ACF Extended : accès non autorisé à des données via des gestionnaires AJAX
P4 · Moyenne · CVE-2026-2839 — Advanced Custom Fields: Extended expose des gestionnaires AJAX accessibles sans authentification qui ne vérifient pas correctement les capacités de l’utilisateur.…