Le journal DFS
wordpress
-
Form Maker by 10Web : XSS stocké dans l’administration des soumissions
P3 · Élevée · CVE-2026-105413 — Avant la version 1.15.51, Form Maker by 10Web n’échappait pas systématiquement les valeurs soumises par les utilisateurs lorsqu’elles étaient affichées…
-
XSS stockée via les commentaires dans Remove Google Fonts
P3 · Élevée · CVE-2026-97397 — Le plugin Remove Google Fonts – Disable, Block, or Replace with Bunny Fonts for GDPR Compliance est affecté par une…
-
Élévation de privilèges dans Mobile builder
P3 · Élevée · CVE-2026-104799 — Le plugin Mobile builder présente une élévation de privilèges via son gestionnaire REST `wcfmmp_profile_settings()`. Un utilisateur authentifié à partir du…
-
Import and export users and customers : élévation de privilèges vers administrateur
P3 · Élevée · CVE-2026-120554 — Une séquence non atomique d’écriture des options dans Import and export users and customers peut modifier des paramètres de tâche…
-
Slim Jetpack : XSS stockée non authentifiée dans le formulaire de contact
P3 · Élevée · CVE-2026-115498 — Slim Jetpack ne nettoie ni n’échappe suffisamment le champ de contact « Website », ce qui permet à des visiteurs…
-
XSS dans Welcart e-Commerce
P4 · Faible · CVE-2026-120597 — Le plugin Welcart e-Commerce pour WordPress est vulnérable à une injection de script intersites (XSS) dans les versions jusqu’à 2.12.6…
-
Contrôle d’accès insuffisant dans l’API REST de weMail
P4 · Faible · CVE-2026-104647 — weMail vérifie incorrectement les capacités dans ses contrôles d’accès à l’API REST et peut autoriser des utilisateurs dont le rôle…
-
CryptoCloud : falsification des notifications de paiement
P4 · Moyenne · CVE-2026-103327 — CryptoCloud de la version 3.0.0 à 3.0.1 ne vérifie pas l’authenticité des notifications de paiement reçues par son callback lorsque…
-
AZEXO Store Locator : suppression arbitraire de contenus
P4 · Moyenne · CVE-2026-115205 — AZEXO Store Locator jusqu’à la version 1.4 ne vérifie pas les autorisations lors de la suppression d’un article. Tout utilisateur…
-
DT LMS : révocation non autorisée de validations de cours
P4 · Moyenne · CVE-2026-106004 — DT LMS jusqu’à la version 1.2 ne contrôle pas les capacités ni les nonces sur une action AJAX. Un attaquant…