Le journal DFS
CMS & e-commerce
-
Prise de contrôle de comptes via les formulaires d’ACF Extended
P3 · Élevée · CVE-2026-94262 — Advanced Custom Fields: Extended et sa version PRO, avant la version 0.9.2.8, ne vérifient pas correctement l’autorisation de modifier le…
-
LiteSpeed Cache : injection d’attributs JavaScript via un commentaire
P3 · Élevée · CVE-2026-113500 — LiteSpeed Cache pour WordPress, dans les versions antérieures à 7.9.2, peut supprimer du HTML la marque qui ferme un attribut,…
-
LiteSpeed Cache : XSS via les commentaires publiés
P3 · Élevée · CVE-2026-113499 — LiteSpeed Cache pour WordPress permet, avant la version 7.9.2, à un utilisateur non authentifié dont le commentaire est publié d’exploiter…
-
Défaut d’autorisation et prise de contrôle de compte dans User Profile Builder
P3 · Élevée · CVE-2026-111982 — Dans User Profile Builder avant la version 4.0.5, le formulaire frontal de modification du profil ne vérifie pas que l’utilisateur…
-
CVE-2026-94268 : contournement de protection et prise de contrôle d’un compte administrateur
P3 · Élevée · CVE-2026-94268 — Dans le module Forms d’Advanced Custom Fields: Extended et de sa version PRO, la cible de l’action de mise à…
-
XSS stockée dans Otter Blocks via le rendu du contenu dynamique
P3 · Élevée · CVE-2026-109936 — Otter Blocks antérieur à 3.2.8 utilise une expression de réécriture des jetons de contenu dynamique qui peut englober la fermeture…
-
Exposition de données de commandes dans le dataLayer du module GTM Server Side
P3 · Élevée · CVE-2026-55826 — Le module WordPress GTM Server Side de stape.io peut exposer dans la page les données complètes de commande WooCommerce d’un…
-
XSS stockée authentifiée dans Phoca Gallery
P3 · Élevée · CVE-2026-102786 — CVE-2026-102786 concerne une XSS stockée déclenchable par un utilisateur authentifié dans Phoca Gallery. La fiche NVD indique les versions 4.5.0…
-
Traversée de répertoires dans Music Store – WordPress eCommerce
P3 · Élevée · CVE-2026-115497 — Music Store – WordPress eCommerce est vulnérable à une traversée de répertoires jusqu’à la version 1.4.7 incluse, via le paramètre…
-
CVE-2026-109198 — XSS stockée dans Anti-Spam by CleanTalk
P3 · Élevée · CVE-2026-109198 — CVE-2026-109198 concerne une XSS stockée dans le plugin Anti-Spam by CleanTalk, causée par une validation et un échappement insuffisants du…