Le journal DFS
CMS & e-commerce
-
GeoDirectory : divulgation d’annonces non publiques
P4 · Moyenne · CVE-2026-113492 — GeoDirectory avant 2.8.194 ne vérifie pas le statut, la propriété ni le mot de passe de certaines annonces chargées par…
-
CVE-2026-113491 — Lecture et suppression de fichiers via GeoDirectory
P4 · Moyenne · CVE-2026-113491 — GeoDirectory utilise une URL d’image fournie par l’utilisateur comme chemin de fichier local sans validation suffisante. Les versions antérieures à…
-
CVE-2026-113490 — Divulgation de données de fiches non publiques dans GeoDirectory
P4 · Moyenne · CVE-2026-113490 — GeoDirectory expose certaines informations de fiches non publiques via une route REST de détail sans vérifier leur statut ni leur…
-
CVE-2026-113489 — Contrôle de propriété insuffisant dans GeoDirectory
P4 · Moyenne · CVE-2026-113489 — GeoDirectory ne vérifie pas qu’une pièce jointe référencée appartient à la fiche en cours d’enregistrement. Les versions antérieures à 2.8.194…
-
CVE-2026-107907 — Suppression non autorisée de contenu par MAS Videos
P4 · Moyenne · CVE-2026-107907 — MAS Videos ne vérifie pas suffisamment les droits ni la propriété des éléments lors des demandes de suppression de vidéos…
-
CVE-2026-107887 — Absence de contrôle d’accès dans Advanced Twenty Seventeen
P4 · Moyenne · CVE-2026-107887 — Advanced Twenty Seventeen ne vérifie ni les capacités ni le nonce lors de l’action qui crée et active son thème…
-
Modification non autorisée de la configuration de Pixel Tag Manager for WooCommerce
P4 · Moyenne · CVE-2026-105199 — Le plugin Pixel Tag Manager for WooCommerce avant 2.2.3 permet à un utilisateur ayant un accès au tableau de bord,…
-
GeoDirectory : exécution de code via un fichier PHP généré
P3 · Élevée · CVE-2026-113673 — GeoDirectory avant 2.8.194 échappe insuffisamment du texte défini par l’administrateur avant de l’écrire dans un fichier PHP généré. Un utilisateur…
-
XSS déclenchée par un lien dans Download Monitor
P3 · Élevée · CVE-2026-112207 — Download Monitor avant 5.3.4 ne vérifie pas correctement que le lien cliqué appartient au site avant d’en récupérer et d’afficher…
-
Craft CMS : contournement du bac à sable Twig et exécution de fonctions PHP
P3 · Élevée · CVE-2026-115938 — Un utilisateur authentifié du panneau de contrôle peut contourner le bac à sable Twig via le filtre `column`, récupérer la…