Le journal DFS
wordpress
-
Database Addon For WPForms : suppression d’entrées par CSRF
P4 · Moyenne · CVE-2026-105260 — Avant la version 1.1.1, Database Addon For WPForms n’effectue pas la vérification attendue du nonce CSRF lorsque celui-ci est omis…
-
Appointment Booking Plugin : divulgation de confirmations de commande
P4 · Moyenne · CVE-2026-105198 — Avant la version 5.7.3, Appointment Booking Plugin ne vérifie pas que l’appelant est propriétaire de la commande associée à l’identifiant…
-
Easy Digital Downloads : exposition de commandes et de liens de téléchargement
P4 · Moyenne · CVE-2026-105194 — Avant la version 3.7.1, Easy Digital Downloads ne limite pas les données de commande fournies par un bloc aux commandes…
-
Booking Calendar : empreintes d’accès aux réservations prédictibles
P4 · Moyenne · CVE-2026-105193 — Avant la version 11.8, Booking Calendar génère des empreintes d’accès aux réservations prévisibles à partir de valeurs temporelles peu entropiques.…
-
Injection de JavaScript via les shortcodes de galerie Final Tiles Grid
P4 · Moyenne · CVE-2026-104646 — Une faille de script intersite stocké permet à des contributeurs ou à des utilisateurs de niveau supérieur d’injecter du JavaScript…
-
Aurora Heatmap : XSS stockée déclenchée par un lien injecté
P4 · Moyenne · CVE-2026-94154 — Aurora Heatmap jusqu’à la version 1.7.2 incluse est vulnérable à une XSS stockée via le paramètre « url ». Un…
-
LatePoint : modification non autorisée des données client
P4 · Moyenne · CVE-2026-17538 — LatePoint jusqu’à la version 5.6.9 présente une IDOR permettant à un utilisateur authentifié ayant le rôle Subscriber ou supérieur de…
-
Contournement de validation d’URL dans la bibliothèque SVG utilisée par certains modules Drupal
P4 · Moyenne · CVE-2026-107380 — Une faille dans `enshrined/svg-sanitize` permet à un SVG spécialement conçu de contourner la validation des URL et d’introduire une URL…
-
Déni de service dans la bibliothèque SVG utilisée par certains modules Drupal
P4 · Moyenne · CVE-2026-107379 — Une faille dans la bibliothèque PHP `enshrined/svg-sanitize` peut provoquer un déni de service lorsqu’un SVG spécialement conçu est traité. Elle…
-
WooCommerce Wallet System : manipulation des soldes par transfert
P4 · Moyenne · CVE-2026-93509 — Le plugin The Wallet System for WooCommerce ne vérifie pas que le montant d’un transfert est positif et calcule le…