Le journal DFS
wordpress
-
Cart Abandonment Recovery : altération des données de panier abandonné
P4 · Moyenne · CVE-2026-96900 — Cart Abandonment Recovery for WooCommerce ne vérifie pas que l’utilisateur possède l’adresse e-mail utilisée pour sélectionner une donnée de panier…
-
Paymentfor Gateway for WooCommerce : fausses notifications de paiement
P4 · Moyenne · CVE-2026-94360 — Paymentfor Gateway for WooCommerce ne vérifie pas l’authenticité des notifications de paiement entrantes avant de marquer une commande comme payée.…
-
Asaas Gateway for WooCommerce : validation insuffisante du webhook de paiement
P4 · Moyenne · CVE-2026-87974 — Le webhook de paiement d’Asaas Gateway for WooCommerce n’authentifie pas correctement les notifications et ne vérifie pas que le paiement…
-
Product Feed for WooCommerce Merchant : secret de boutique remplaçable sans authentification
P4 · Moyenne · CVE-2026-87968 — Une action AJAX de Product Feed for Google Shopping, Microsoft Advertising and 40+ Channels for WooCommerce Merchant ne comporte ni…
-
Trust Payments Gateway for WooCommerce : commandes validées sans paiement
P4 · Moyenne · CVE-2026-87843 — Trust Payments Gateway for WooCommerce ne vérifie pas l’authenticité de la réponse renvoyée après un paiement hébergé, ne la lie…
-
CodeAtoZ B2B Suite : accès indu aux devis d’invités
P4 · Moyenne · CVE-2026-105969 — CodeAtoZ B2B Suite for WooCommerce avant la version 1.6.1 ne contrôle pas suffisamment l’accès aux devis soumis en tant qu’invité.…
-
Hyyan WooCommerce Polylang Integration : injection SQL
P4 · Moyenne · CVE-2026-101926 — Hyyan WooCommerce Polylang Integration jusqu’à la version 1.5.0 incluse est vulnérable à une injection SQL via l’action AJAX woocommerce_remove_variations. Un…
-
affiliate-toolkit : exécution de code PHP via un modèle fourni par un utilisateur
P3 · Élevée · CVE-2026-86787 — Dans affiliate-toolkit, un utilisateur ayant au moins le rôle Contributor peut fournir un modèle que le moteur de rendu embarqué…
-
Inclusion et lecture de fichiers locaux dans Ultimate Multisite
P3 · Élevée · CVE-2026-107508 — Ultimate Multisite ne valide pas une valeur fournie par l’utilisateur qui sert à sélectionner un fichier à inclure. Un attaquant…
-
Forms : injection de script dans l’écran d’administration des soumissions
P3 · Élevée · CVE-2026-86799 — Forms ne nettoie pas les valeurs soumises avant leur stockage et ne les échappe pas sur l’écran d’administration des soumissions.…