Le journal DFS
CMS & e-commerce
-
SUMIT Payment Gateway : validation incorrecte des paiements de commandes
P4 · Moyenne · CVE-2026-111957 — Le plugin SUMIT Payment Gateway for WooCommerce avant la version 4.0.0 ne lie pas correctement le paiement confirmé à la…
-
AI Engine : modification non autorisée de contenus arbitraires
P4 · Moyenne · CVE-2026-110982 — AI Engine ne vérifie pas que l’appelant peut modifier l’objet ciblé avant d’en mettre à jour le titre et l’extrait.…
-
Contrôle d’accès insuffisant dans Synchrony Financing
P4 · Moyenne · CVE-2026-100145 — Le plugin Synchrony Financing ne vérifie pas correctement les autorisations sur une route REST qui modifie les commandes WooCommerce avant…
-
XSS non authentifiée dans Jane Menu
P3 · Élevée · CVE-2026-85683 — Le plugin Jane Menu expose sans authentification un gestionnaire de formulaire dépourvu de contrôles de capacité et de nonce, permettant…
-
Click n Chat : injection SQL via les paramètres de tri
P3 · Élevée · CVE-2026-92998 — Le plugin Click n Chat ne nettoie pas les paramètres de tri avant leur insertion dans une clause SQL ORDER…
-
Click n Chat : injection SQL par paramètre de colonne non validé
P3 · Élevée · CVE-2026-92997 — Le plugin Click n Chat utilise un paramètre comme identifiant de colonne dans une requête SQL sans validation adéquate, ce…
-
Weglot : injection de contenu via les URL réécrites des pages traduites
P3 · Élevée · CVE-2026-88784 — Le plugin Translate WordPress with Weglot ne neutralise pas les URL réinjectées lors de la réécriture des liens pour une…
-
Formidable Forms : épuisement non authentifié du quota de vérification des paiements
P3 · Élevée · CVE-2026-85642 — Formidable Forms avant la version 7.0 ne vérifie pas l’identité de l’appelant avant d’enregistrer l’horodatage utilisé pour limiter les requêtes…
-
Advanced File Manager : script actif dans un fichier SVG stocké
P3 · Élevée · CVE-2026-79627 — Advanced File Manager avant la version 6.0.0 ne détermine pas correctement si un fichier stocké est un SVG avant de…
-
miniOrange 2FA : contournement du second facteur par ajout de passkey
P3 · Élevée · CVE-2026-111949 — miniOrange 2FA permet à une connexion par passkey encore en attente d’enregistrer une passkey supplémentaire sur un compte qui en…