Le journal DFS
wordpress
-
Order Tracking : commandes marquées payées sans paiement valide
P4 · Moyenne · CVE-2026-121633 — Un attaquant non authentifié peut faire marquer des commandes comme payées sans paiement correspondant au montant dû. Le plugin ne…
-
MC4WP : exécution de shortcodes contrôlés par une requête
P4 · Moyenne · CVE-2026-118166 — Dans certaines configurations, un visiteur non authentifié peut faire exécuter des shortcodes enregistrés avec des attributs choisis par lui. La…
-
GutenKit : XSS stockée via le CSS personnalisé d’un article
P4 · Moyenne · CVE-2026-114427 — GutenKit avant la version 2.5.5 ne neutralise pas correctement le CSS personnalisé enregistré pour un article avant de l’insérer dans…
-
Divulgation de données personnelles dans Eventin
P4 · Moyenne · CVE-2026-109994 — Eventin présente une exposition d’informations sensibles dans toutes les versions jusqu’à 4.1.29 incluse. Un utilisateur authentifié ayant le rôle Subscriber…
-
Divulgation d’identifiants de paiement dans Travelly
P4 · Moyenne · CVE-2026-121794 — Travelly – Tour & Travel Booking Manager for WooCommerce présente un contournement d’autorisation dans toutes les versions jusqu’à 2.3.11 incluse.…
-
ShopEngine : XSS stockée exploitable par un contributeur
P4 · Moyenne · CVE-2026-92396 — Le plugin ShopEngine Gutenberg WooCommerce Builder Blocks Addon avant la version 2.4.4 ne vérifie pas correctement les droits de l’utilisateur…
-
All-in-One Video Gallery : XSS stockée depuis l’URL de miniature
P3 · Élevée · CVE-2026-120408 — Un utilisateur disposant au minimum du rôle Abonné peut provoquer une attaque XSS stockée visant les administrateurs. La faille concerne…
-
Ever Accounting : suppression de fichiers arbitraires
P3 · Élevée · CVE-2026-118045 — Ever Accounting avant la version 2.3.3 ne limite pas le chemin de fichier fourni à la procédure d’import CSV à…
-
iubenda : injection de script dans les pages du site
P3 · Élevée · CVE-2026-86606 — Un attaquant non authentifié peut injecter du script dans des pages traitées par le plugin, avec exécution dans la session…
-
CleanTalk : injection de script dans la revue des indésirables
P3 · Élevée · CVE-2026-115673 — Anti-Spam, Spam FireWall by CleanTalk avant la version 6.91 ne neutralise pas une valeur fournie par un commentateur avant de…