Le journal DFS
wordpress
-
FluentCart : injection SQL via les variantes de produits
P4 · Moyenne · CVE-2026-103518 — FluentCart pour WordPress présente une injection SQL dans toutes les versions jusqu’à 1.7.0 incluse. Un utilisateur authentifié disposant d’un accès…
-
Popup Box : exécution de shortcodes arbitraires via l’adresse IP injectée
P4 · Moyenne · CVE-2026-100159 — Le plugin Popup Box pour WordPress présente une faille d’exécution de shortcodes arbitraires dans les versions 6.4.1 à 6.4.2. Si…
-
CVE-2026-109414 : injection SQL dans Vitepos
P4 · Moyenne · CVE-2026-109414 — CVE-2026-109414 est une injection SQL aveugle dans Vitepos, affectant les versions jusqu’à 3.6.1 incluse. La branche d’opérateur bt (BETWEEN) n’était…
-
Modification non autorisée de mots de passe dans Dokan
P4 · Moyenne · CVE-2026-89280 — Le plugin Dokan présente une référence directe non sécurisée permettant à un vendeur authentifié de modifier le mot de passe…
-
XSS stockée dans Tourfic via les commentaires WooCommerce
P4 · Moyenne · CVE-2026-97470 — Tourfic contient une XSS stockée liée au contenu des commentaires et à l’attribution de `unfiltered_html` au rôle Customer, dans les…
-
XSS stockée dans FiboSearch
P4 · Moyenne · CVE-2026-100106 — FiboSearch – Ajax Search for WooCommerce jusqu’à la version 1.34.2 incluse présente une XSS stockée via le paramètre `purchased_plan`. Un…
-
Exposition d’identifiants MySQL dans HUSKY Products Filter
P4 · Moyenne · CVE-2026-107646 — HUSKY – Products Filter for WooCommerce Professional jusqu’à la version 1.4.5 incluse peut exposer des identifiants de base de données…
-
Salon Booking System : falsification de requêtes REST pouvant créer un administrateur
P3 · Élevée · CVE-2026-110015 — Salon Booking System avant la version 10.31.9 écarte le contrôle de nonce du cœur WordPress pour les sessions authentifiées par…
-
OTP Login & Register Woocommerce : contournement de la limite d’essais OTP
P3 · Élevée · CVE-2026-110135 — OTP Login & Register Woocommerce avant la version 2.7.3 ne limite pas efficacement les tentatives de vérification des mots de…
-
XSS stockée dans WP Sessions Time Monitoring Full Automatic
P3 · Élevée · CVE-2026-107648 — WP Sessions Time Monitoring Full Automatic contient une XSS stockée par plusieurs paramètres de requête, exploitable sans authentification. Toutes les…