Le journal DFS
Veille sécurité
-
Exécution arbitraire de shortcodes dans Forminator Forms
P4 · Moyenne · CVE-2026-101335 — Le plugin Forminator Forms permet l’exécution de shortcodes arbitraires dans certaines notifications de quiz. Les versions jusqu’à 1.58.1 inclus sont…
-
XSS stockée dans Dark Mode
P4 · Moyenne · CVE-2026-93535 — Le plugin Dark Mode est vulnérable à une XSS stockée via l’attribut de shortcode « icon_light ». Les versions jusqu’à…
-
XSS stockée dans Cooked – Recipe Management
P4 · Moyenne · CVE-2026-77829 — Le plugin Cooked – Recipe Management est vulnérable à une XSS stockée dans le contenu du shortcode « [cooked-timer] ».…
-
Debloat : traversée de répertoires via le paramètre de recherche
P4 · Moyenne · CVE-2026-104769 — Debloat – Remove Unused CSS, Optimize JS présente une faille de traversée de répertoires dans les versions jusqu’à 1.3.0 incluse.…
-
FluentCart : injection SQL via les variantes de produits
P4 · Moyenne · CVE-2026-103518 — FluentCart pour WordPress présente une injection SQL dans toutes les versions jusqu’à 1.7.0 incluse. Un utilisateur authentifié disposant d’un accès…
-
Popup Box : exécution de shortcodes arbitraires via l’adresse IP injectée
P4 · Moyenne · CVE-2026-100159 — Le plugin Popup Box pour WordPress présente une faille d’exécution de shortcodes arbitraires dans les versions 6.4.1 à 6.4.2. Si…
-
CVE-2026-109414 : injection SQL dans Vitepos
P4 · Moyenne · CVE-2026-109414 — CVE-2026-109414 est une injection SQL aveugle dans Vitepos, affectant les versions jusqu’à 3.6.1 incluse. La branche d’opérateur bt (BETWEEN) n’était…
-
Modification non autorisée de mots de passe dans Dokan
P4 · Moyenne · CVE-2026-89280 — Le plugin Dokan présente une référence directe non sécurisée permettant à un vendeur authentifié de modifier le mot de passe…
-
XSS stockée dans Tourfic via les commentaires WooCommerce
P4 · Moyenne · CVE-2026-97470 — Tourfic contient une XSS stockée liée au contenu des commentaires et à l’attribution de `unfiltered_html` au rôle Customer, dans les…
-
CVE-2026-111409 : défaut d’autorisation dans YITH PayPal Express Checkout
P4 · Moyenne · CVE-2026-111409 — YITH PayPal Express Checkout for WooCommerce présente un défaut d’autorisation affectant les versions jusqu’à 1.61.0 incluse. La fiche fournie ne…