Le journal DFS
Veille sécurité
-
All-in-One Video Gallery : XSS stockée via le code d’intégration
P4 · Moyenne · CVE-2026-109209 — All-in-One Video Gallery présente une XSS stockée liée au champ « custom_fields[embedcode] ». Les versions jusqu’à 4.9.7 inclus sont concernées…
-
AI Engine : suppression non autorisée de fichiers média
P4 · Moyenne · CVE-2026-107745 — AI Engine présente une faille de suppression de fichiers média liée à une validation insuffisante des chemins. Les versions jusqu’à…
-
XSS stockée dans le plugin WordPress Ultimate Member
P4 · Moyenne · CVE-2026-107625 — Le plugin Ultimate Member est vulnérable à une XSS stockée via le paramètre `user_url` ; l’exploitation requiert un compte authentifié…
-
BitPay Gateway for WooCommerce : commandes marquées payées à tort
P4 · Moyenne · CVE-2026-103313 — BitPay Gateway for WooCommerce ne lie pas correctement la confirmation de transaction à la commande ni ne vérifie le montant…
-
Waitlist Woocommerce : XSS stockée via un shortcode
P4 · Moyenne · CVE-2026-77188 — Waitlist Woocommerce permet à des utilisateurs authentifiés ayant le rôle Contributor ou supérieur d’introduire du contenu JavaScript persistant via l’attribut…
-
PayPal Brasil para WooCommerce : contournement d’autorisation
P4 · Moyenne · CVE-2026-76058 — Le module PayPal Brasil para WooCommerce permet à des attaquants non authentifiés de modifier les réglages de la passerelle BCDC,…
-
WoowBot : contournement d’autorisation et consommation de crédits API
P4 · Moyenne · CVE-2026-111372 — Le plugin AI ChatBot for WooCommerce – WoowBot est vulnérable à un contournement d’autorisation permettant à un utilisateur authentifié de…
-
Travelly : divulgation de publications par contournement d’autorisation
P4 · Moyenne · CVE-2026-111213 — Travelly jusqu’à la version 2.3.6 incluse ne vérifie pas correctement les autorisations lors de la duplication de publications. Un utilisateur…
-
Product Addons for WooCommerce : XSS persistante
P4 · Moyenne · CVE-2026-109988 — Product Addons for WooCommerce – Product Options with Custom Fields jusqu’à la version 3.1.8 incluse permet à un utilisateur authentifié…
-
CVE-2026-109978 — XSS stockée dans Cozy Blocks (productRating)
P4 · Moyenne · CVE-2026-109978 — Cozy Blocks est également vulnérable à une XSS stockée via le paramètre productRating.iconColor jusqu’à la version 2.2.27 incluse. Le chemin…