Le journal DFS
Veille sécurité
-
XSS dans le formulaire de greffe de module QloApps
P4 · Moyenne · CVE-2026-103588 — QloApps jusqu’à la version 1.7.0 présente une XSS réfléchie dans le formulaire « Transplant a module » du back-office, via…
-
XSS réfléchie dans la recherche du back-office QloApps
P4 · Moyenne · CVE-2026-103587 — QloApps jusqu’à la version 1.7.0 présente une XSS réfléchie dans la recherche « Book Now » du back-office, via les…
-
XSS stockée dans AJA HELO Plus
P4 · Moyenne · CVE-2026-47096 — Le firmware AJA HELO Plus antérieur à 2.1.7 présente une XSS stockée via le nom du système transmis à l’API…
-
WP Popular Posts : divulgation d’informations de contenus non publics
P4 · Moyenne · CVE-2026-92548 — WP Popular Posts jusqu’à la version 7.4.2 expose des champs sensibles de contenus non publics lorsque des requêtes REST utilisent…
-
Simply Schedule Appointments : divulgation des données et jetons de réservations groupées
P4 · Moyenne · CVE-2026-91109 — Simply Schedule Appointments jusqu’à la version 1.6.12.31 incluse permet à un utilisateur authentifié disposant d’un jeton valide pour une réservation…
-
Newsletter for WordPress : exposition du jeton d’authentification d’un abonné
P4 · Moyenne · CVE-2026-92537 — Newsletter for WordPress versions up to and including 9.3.9 exposes a subscriber’s permanent authentication cookie when a signed click-tracking URL…
-
Contournement d’autorisation et suppression de médias dans Redux Framework
P4 · Moyenne · CVE-2026-88999 — Redux Framework pour WordPress jusqu’à la version 4.5.14 incluse vérifie insuffisamment les autorisations sur une action permettant de supprimer des…
-
Advanced Woo Labels : création non autorisée d’étiquettes mal échappées
P4 · Moyenne · CVE-2026-12241 — Advanced Woo Labels jusqu’à la version 2.51 présente un contrôle de capacité insuffisant dans save_meta_boxes, permettant à des utilisateurs authentifiés…
-
ZongXR SuperMarket : défaut d’authentification dans l’achat immédiat
P3 · Faible · CVE-2026-103539 — Dans ZongXR SuperMarket 1.0.0.0, la fonction d’achat immédiat ne vérifie pas correctement l’authentification associée au paramètre Username. Le défaut peut…
-
jackson-core — déni de service par accumulation non bornée dans le message d’erreur du parseur
P3 · Élevée · CVE-2026-89425 — Dans le parseur JSON utilisant DataInput, un jeton malformé peut entraîner la construction d’un message d’erreur non borné, consommant mémoire…