Le journal DFS
CMS & e-commerce
-
XSS stockée via les icônes SVG de Gutenverse Form
P4 · CVE-2026-106469 — Gutenverse Form ne désinfecte pas le balisage SVG d’icône enregistré dans les blocs de formulaire avant son insertion dans la page, ce…
-
YITH WooCommerce Popup : suppression non autorisée de métadonnées d’articles
P4 · CVE-2026-92426 — YITH WooCommerce Popup ne vérifie pas les capacités de l’utilisateur avant de supprimer des métadonnées d’articles. Avant la version 1.60.0, un utilisateur…
-
Robokassa pour WooCommerce : commandes susceptibles d’être forcées en échec
P4 · CVE-2026-91076 — La passerelle Robokassa pour WooCommerce ne vérifie pas l’authenticité d’une notification de paiement avant de traiter la commande qu’elle désigne. Avant la…
-
Responsive Blocks : injection HTML dans les courriels de notification
P4 · Moyenne · CVE-2026-97315 — Responsive Blocks n’échappe ni ne nettoie certaines valeurs envoyées par le bloc Form avant de les intégrer dans le courriel…
-
Tickera : validation insuffisante des notifications de paiement
P4 · Moyenne · CVE-2026-88998 — Tickera ne vérifie pas correctement l’intégrité des notifications de paiement entrantes : la signature validée ne couvre ni la commande…
-
WPForms Lite : soumission de formulaires payants sans paiement
P4 · Moyenne · CVE-2026-82844 — WPForms Lite peut accepter des soumissions de formulaires payants sans vérifier côté serveur que le paiement PayPal Commerce a été…
-
WPCode : contournement du fonctionnement des snippets
P4 · Moyenne · CVE-2026-101301 — WPCode ne vérifie pas correctement qu’une requête vise réellement l’écran de connexion avant d’activer son mode sécurisé pour les snippets.…
-
XSS stockée dans Meow Lightbox sous conditions
P4 · Moyenne · CVE-2026-107756 — La fiche NVD publiée le 14 octobre 2026 décrit une XSS stockée dans Meow Lightbox, affectant toutes les versions jusqu’à…
-
XSS stockée dans GeoDirectory via le titre des images
P4 · Moyenne · CVE-2026-107754 — La fiche NVD publiée le 14 octobre 2026 signale une XSS stockée dans GeoDirectory – WP Business Directory Plugin and…
-
XSS stockée dans GeoDirectory via post_title
P4 · Moyenne · CVE-2026-107650 — La fiche NVD publiée le 14 octobre 2026 décrit une XSS stockée dans GeoDirectory – WP Business Directory Plugin and…