Le journal DFS
CMS & e-commerce
-
SSRF dans PowerPack Addons for Elementor
P4 · Moyenne · CVE-2026-110692 — PowerPack Addons for Elementor ne valide pas une URL fournie par l’utilisateur avant de l’utiliser dans une requête HTTP côté…
-
XSS stockée dans la configuration des boutons de Kali Forms
P4 · Moyenne · CVE-2026-106649 — Kali Forms pour WordPress, avant la version 2.4.29, permet à des utilisateurs ayant le rôle Author ou un rôle supérieur…
-
Booking Package : réservation confirmée sans paiement
P4 · Moyenne · CVE-2026-106000 — Avant la version 1.7.34, Booking Package pouvait enregistrer une réservation comme confirmée sans s’assurer que le paiement avait été effectué,…
-
XSS stockée via les champs de scripts de CookieYes pour WordPress
P4 · Moyenne · CVE-2026-104719 — Le plugin CookieYes pour WordPress antérieur à 3.5.8 ne restreint pas correctement l’écriture de champs de scripts de catégories et…
-
wePOS pour WooCommerce : traitement non autorisé de commandes
P4 · Moyenne · CVE-2026-121993 — wePOS (Point Of Sale for WooCommerce) ne vérifiait pas l’autorisation d’un utilisateur de niveau vendeur sur une route REST de…
-
Vipps et MobilePay pour WooCommerce : validation insuffisante des webhooks
P4 · Moyenne · CVE-2026-121970 — Pay with Vipps and MobilePay for WooCommerce ne validait pas correctement la signature de certains webhooks de paiement récurrent lorsque…
-
ERP Suite for WooCommerce : divulgation de données sensibles par une action AJAX
P4 · Moyenne · CVE-2026-105191 — Dans l’extension ERP: Complete HR, Accounting & CRM Suite Built for WooCommerce, une action AJAX sans contrôle de capacité expose…
-
Contournement du paiement dans GetPaid par quantité négative
P3 · Élevée · CVE-2026-119749 — Le plugin GetPaid ne valide pas correctement la quantité d’un article sur un formulaire de paiement public. Un attaquant non…
-
Stape Conversion Tracking : SSRF et risque de XSS via le proxy
P3 · Élevée · CVE-2026-118422 — Le proxy de Stape Conversion Tracking ne valide pas le sous-chemin ajouté à son point de terminaison amont. Une personne…
-
Contrôles d’autorisation insuffisants dans l’API REST de GetPaid
P3 · Élevée · CVE-2026-119747 — Le plugin GetPaid applique des contrôles d’autorisation inadéquats à certaines opérations de son API REST. Des utilisateurs authentifiés de moindre…