Le journal DFS
wordpress
-
PayPlug for WooCommerce : accès non autorisé aux commandes
P4 · Moyenne · CVE-2026-113813 — La fiche NVD publiée le 28 octobre décrit plusieurs actions AJAX non authentifiées de PayPlug for WooCommerce qui n’effectuent aucun…
-
PayPlug for WooCommerce : accès à la clé et annulation de commandes invitées
P4 · Moyenne · CVE-2026-110292 — PayPlug for WooCommerce (Official) ne vérifie pas que la personne à l’origine d’une demande de paiement possède la commande WooCommerce…
-
Customer Email Verification for WooCommerce : contournement de vérification et d’authentification
P4 · Moyenne · CVE-2026-109236 — Customer Email Verification for WooCommerce présente un contournement de vérification d’adresse électronique reposant sur un jeton prévisible, qui peut permettre…
-
Casso Flow : notifications de paiement falsifiables
P4 · Moyenne · CVE-2026-103382 — CVE-2026-103382 concerne Casso Flow pour WordPress avant la version 4.2.0 : sur une installation par défaut, le jeton de vérification…
-
Falsification de notifications de paiement dans UniPAY for WooCommerce
P4 · Moyenne · CVE-2026-103331 — Le plugin UniPAY Payment Gateway for WooCommerce ne vérifie pas correctement l’authenticité des notifications de paiement lorsque le secret marchand…
-
GoSMTP : autorisation insuffisante sur la configuration SMTP
P3 · Élevée · CVE-2026-111577 — GoSMTP avant 1.2.5 n’effectue pas un contrôle d’autorisation suffisant sur la page de configuration SMTP. Un utilisateur ayant un rôle…
-
Persian WooCommerce SMS : XSS réfléchie visant un utilisateur privilégié
P3 · Élevée · CVE-2026-111021 — L’extension Persian WooCommerce SMS ne neutralisait pas un paramètre avant de le refléter dans un attribut HTML. Cela pouvait entraîner…
-
Menu Cart for WooCommerce : XSS stockée dans le panneau du panier
P3 · Élevée · CVE-2026-105972 — CVE-2026-105972 concerne Menu Cart for WooCommerce pour WordPress avant la version 3.2.1. Des données de variation d’article du panier ne…
-
MemberPress : CSRF pouvant mener à une prise de contrôle de compte
P3 · Élevée · CVE-2026-92797 — MemberPress présente une faille CSRF dans l’enregistrement des champs de profil : l’absence du nonce peut contourner la vérification. Jusqu’à…
-
VikRentCar : CSRF pouvant mener à l’exécution de code à distance
P3 · Élevée · CVE-2026-111120 — VikRentCar jusqu’à la version 1.4.8 incluse présente une faille CSRF qui peut permettre l’écriture de code PHP dans des fichiers…