Le journal DFS
CMS & e-commerce
-
Moloni : contrôles d’autorisation manquants sur des actions AJAX
P4 · Moyenne · CVE-2026-106932 — CVE-2026-106932 concerne plusieurs actions AJAX authentifiées du plugin Moloni qui ne vérifient ni les capacités ni les nonces. Un utilisateur…
-
Divulgation de configuration dans Booking Package
P4 · Moyenne · CVE-2026-105999 — Booking Package renvoie des paramètres de configuration du compte calendrier sans contrôle d’autorisation avant la version 1.7.31. Un utilisateur non…
-
Désactivation des fonctions premium de Booking Package
P4 · Moyenne · CVE-2026-105998 — Booking Package permet de réinitialiser l’état d’abonnement premium sans contrôle d’autorisation ni de validité avant la version 1.7.31. Un attaquant…
-
Jetons de réservation prévisibles dans Booking Package
P4 · Moyenne · CVE-2026-105996 — Booking Package génère des jetons d’annulation prévisibles avant la version 1.7.31, à partir de valeurs exposées publiquement. Un attaquant non…
-
Réservations confirmables sans paiement dans Ettrick Escape Room Booking
P4 · Moyenne · CVE-2026-105992 — Ettrick Escape Room Booking ne vérifie pas auprès du prestataire de paiement qu’une réservation a bien été payée avant de…
-
Notifications de paiement falsifiables dans Payment Gateway for Idram
P4 · Moyenne · CVE-2026-103302 — Payment Gateway for Idram ne vérifie pas l’authenticité des notifications de paiement avant la version 2.1.6, car les identifiants marchands…
-
BjornTech Swish for WooCommerce : contrôle d’accès manquant
P4 · Moyenne · CVE-2026-111835 — La fiche NVD signale une vulnérabilité de contrôle d’accès manquant dans BjornTech Swish for WooCommerce, affectant les versions jusqu’à 3.7.8…
-
Telcell : notifications de paiement non authentifiées
P4 · Moyenne · CVE-2026-103301 — Payment Gateway for Telcell ne valide pas l’authenticité des notifications de paiement, car le secret de signature est vide par…
-
Wava Payment Plugin : notifications de paiement non authentifiées
P4 · Moyenne · CVE-2026-87837 — Wava Payment Plugin avant la version 0.3.10 ne vérifie pas l’authenticité des notifications du fournisseur de paiement et ne limite…
-
TI WooCommerce Wishlist : accès non autorisé aux listes privées via l’API REST
P4 · Moyenne · CVE-2026-15261 — TI WooCommerce Wishlist avant la version 2.13.0 n’applique pas à son API REST le contrôle d’accès réservé au propriétaire qui…