Le journal DFS
CMS & e-commerce
-
SEOPress : XSS stocké via des paramètres de suivi analytique
P3 · Élevée · CVE-2026-108041 — Avant la version 10.4, SEOPress n’assainissait ni n’échappait certains paramètres de suivi analytique avant de les insérer dans un script…
-
Form Maker by 10Web : XSS stocké dans l’administration des soumissions
P3 · Élevée · CVE-2026-105413 — Avant la version 1.15.51, Form Maker by 10Web n’échappait pas systématiquement les valeurs soumises par les utilisateurs lorsqu’elles étaient affichées…
-
XSS stockée via les commentaires dans Remove Google Fonts
P3 · Élevée · CVE-2026-97397 — Le plugin Remove Google Fonts – Disable, Block, or Replace with Bunny Fonts for GDPR Compliance est affecté par une…
-
Élévation de privilèges dans Mobile builder
P3 · Élevée · CVE-2026-104799 — Le plugin Mobile builder présente une élévation de privilèges via son gestionnaire REST `wcfmmp_profile_settings()`. Un utilisateur authentifié à partir du…
-
Import and export users and customers : élévation de privilèges vers administrateur
P3 · Élevée · CVE-2026-120554 — Une séquence non atomique d’écriture des options dans Import and export users and customers peut modifier des paramètres de tâche…
-
Slim Jetpack : XSS stockée non authentifiée dans le formulaire de contact
P3 · Élevée · CVE-2026-115498 — Slim Jetpack ne nettoie ni n’échappe suffisamment le champ de contact « Website », ce qui permet à des visiteurs…
-
Doofinder for WooCommerce : exposition de données sensibles
P3 · Élevée · CVE-2026-56065 — Doofinder for WooCommerce est affecté par une vulnérabilité d’insertion d’informations sensibles dans un fichier ou répertoire accessible de l’extérieur. Les…
-
XSS dans Welcart e-Commerce
P4 · Faible · CVE-2026-120597 — Le plugin Welcart e-Commerce pour WordPress est vulnérable à une injection de script intersites (XSS) dans les versions jusqu’à 2.12.6…
-
Contrôle d’accès insuffisant dans l’API REST de weMail
P4 · Faible · CVE-2026-104647 — weMail vérifie incorrectement les capacités dans ses contrôles d’accès à l’API REST et peut autoriser des utilisateurs dont le rôle…
-
CryptoCloud : falsification des notifications de paiement
P4 · Moyenne · CVE-2026-103327 — CryptoCloud de la version 3.0.0 à 3.0.1 ne vérifie pas l’authenticité des notifications de paiement reçues par son callback lorsque…