Le journal DFS
CMS & e-commerce
-
WP Stripe Checkout — validation absente de la signature des webhooks
P4 · Moyenne · CVE-2026-110285 — WP Stripe Checkout avant la version 1.2.2.62 ne vérifie pas la signature des webhooks Stripe lorsque le secret de signature…
-
Chikkili- Google Pay India for Woocommerce : commandes marquées payées sans paiement vérifié
P4 · Moyenne · CVE-2026-94295 — La publication NVD du 25 octobre signale un défaut de vérification des notifications de paiement dans Chikkili- Google Pay India…
-
Duplicator : exécution de PHP arbitraire possible dans un environnement multisite
P3 · Élevée · CVE-2026-115251 — La publication NVD du 25 octobre signale que Duplicator, avant la version 5.0.0, expose une procédure de mise à niveau…
-
Datawiza Proxy Auth Plugin : usurpation possible d’un compte administrateur
P3 · Critique · CVE-2026-115214 — La publication NVD du 25 octobre signale que Datawiza Proxy Auth Plugin, avant la version 1.1.1, ne vérifie pas l’origine…
-
GeoDirectory : modification non autorisée d’annonces d’invités
P4 · Faible · CVE-2026-113674 — GeoDirectory avant 2.8.194 vérifie incorrectement la propriété des annonces soumises par des utilisateurs déconnectés avant d’en autoriser la modification. Si…
-
News Kit Addons For Elementor : modification non autorisée des métadonnées de publications
P4 · Moyenne · CVE-2026-97353 — News Kit Addons For Elementor jusqu’à 1.4.7 inclus ne vérifie ni les capacités ni la propriété des publications avant de…
-
News Kit Addons For Elementor : installation d’extension sans contrôle de capacité
P4 · Moyenne · CVE-2026-97352 — News Kit Addons For Elementor avant 1.4.9 ne contrôle pas les capacités requises dans l’une de ses actions AJAX. Un…
-
Front End Users : contournement des contrôles d’inscription et d’adhésion
P4 · Moyenne · CVE-2026-87835 — Front End Users jusqu’à la version 3.2.35 ne limite pas les attributs de compte qu’un visiteur peut définir lors de…
-
WPVR : XSS stockée dans les points d’intérêt de visites virtuelles
P4 · Moyenne · CVE-2026-114429 — WPVR avant 9.0.3 ne nettoie ni n’échappe correctement certains contenus de points d’intérêt de visite virtuelle avant leur stockage et…
-
GeoDirectory : XSS stockée dans les attributs de carte
P4 · Moyenne · CVE-2026-113493 — GeoDirectory avant 2.8.194 n’échappe pas correctement certains attributs de shortcodes de carte avant leur insertion dans un attribut de style.…