Le journal DFS
CMS & e-commerce
-
Injection d’objets PHP dans Sunshine Photo Cart
P3 · Critique · CVE-2026-104730 — Le plugin Sunshine Photo Cart jusqu’à la version 3.7.4 incluse permet une injection d’objets PHP par désérialisation de données non…
-
Téléversement de fichiers arbitraires dans ELEX WordPress HelpDesk
P3 · Critique · CVE-2026-103768 — Le plugin ELEX WordPress HelpDesk & Customer Ticketing System présente une validation insuffisante du type des pièces jointes IMAP enregistrées.…
-
MailOptin expose les comptes WordPress à une prise de contrôle
P3 · Critique · CVE-2026-109515 — MailOptin peut permettre à un attaquant non authentifié de modifier le mot de passe d’un compte WordPress existant, y compris…
-
Mang Board : téléversement arbitraire de fichiers
P3 · Critique · CVE-2026-109219 — CVE-2026-109219 concerne Mang Board jusqu’à la version 2.4.4 incluse et permet le téléversement de fichiers potentiellement exécutables sans authentification, sous…
-
My Calendar : exécution de fonctions PHP et élévation de privilèges
P3 · Critique · CVE-2026-104798 — CVE-2026-104798 affecte My Calendar jusqu’à la version 3.8.7 incluse et peut permettre à un attaquant non authentifié d’exécuter des fonctions…
-
SellKit : manipulation du prix d’un produit lors du paiement
P4 · CVE-2026-94254 — SellKit ne valide pas le prix d’un produit fourni par le client lorsque les totaux sont recalculés pendant le paiement. Avant la…
-
WP 2FA : suppression intersite de configurations 2FA dans Multisite
P4 · CVE-2026-108066 — Sur WordPress Multisite, un administrateur de site peut supprimer la configuration d’authentification à deux facteurs d’utilisateurs relevant d’autres sites, faute de contrôle…
-
Donation Thermometer : injection de gestionnaires d’événements via un shortcode
P4 · CVE-2026-92409 — Donation Thermometer n’échappe pas une valeur de couleur fournie dans un attribut de shortcode avant de l’insérer dans le balisage de la…
-
Tainacan : accès aux adresses du personnel via les routes REST de rapports
P4 · CVE-2026-90989 — Les points de terminaison REST de rapports de Tainacan ne sont pas réservés aux utilisateurs disposant d’une capacité de gestion. Avant la…
-
Fast Courier : injection SQL via une route REST non authentifiée
P4 · CVE-2026-89288 — Fast Courier utilise une valeur non assainie dans une requête SQL sur une route REST accessible sans authentification. Avant la version 5.2.4,…