Le journal DFS
wordpress
-
Donation Thermometer : injection de gestionnaires d’événements via un shortcode
P4 · CVE-2026-92409 — Donation Thermometer n’échappe pas une valeur de couleur fournie dans un attribut de shortcode avant de l’insérer dans le balisage de la…
-
Tainacan : accès aux adresses du personnel via les routes REST de rapports
P4 · CVE-2026-90989 — Les points de terminaison REST de rapports de Tainacan ne sont pas réservés aux utilisateurs disposant d’une capacité de gestion. Avant la…
-
Fast Courier : injection SQL via une route REST non authentifiée
P4 · CVE-2026-89288 — Fast Courier utilise une valeur non assainie dans une requête SQL sur une route REST accessible sans authentification. Avant la version 5.2.4,…
-
XSS stockée via les icônes SVG de Gutenverse Form
P4 · CVE-2026-106469 — Gutenverse Form ne désinfecte pas le balisage SVG d’icône enregistré dans les blocs de formulaire avant son insertion dans la page, ce…
-
YITH WooCommerce Popup : suppression non autorisée de métadonnées d’articles
P4 · CVE-2026-92426 — YITH WooCommerce Popup ne vérifie pas les capacités de l’utilisateur avant de supprimer des métadonnées d’articles. Avant la version 1.60.0, un utilisateur…
-
Robokassa pour WooCommerce : commandes susceptibles d’être forcées en échec
P4 · CVE-2026-91076 — La passerelle Robokassa pour WooCommerce ne vérifie pas l’authenticité d’une notification de paiement avant de traiter la commande qu’elle désigne. Avant la…
-
Responsive Blocks : injection HTML dans les courriels de notification
P4 · Moyenne · CVE-2026-97315 — Responsive Blocks n’échappe ni ne nettoie certaines valeurs envoyées par le bloc Form avant de les intégrer dans le courriel…
-
Tickera : validation insuffisante des notifications de paiement
P4 · Moyenne · CVE-2026-88998 — Tickera ne vérifie pas correctement l’intégrité des notifications de paiement entrantes : la signature validée ne couvre ni la commande…
-
WPForms Lite : soumission de formulaires payants sans paiement
P4 · Moyenne · CVE-2026-82844 — WPForms Lite peut accepter des soumissions de formulaires payants sans vérifier côté serveur que le paiement PayPal Commerce a été…
-
WPCode : contournement du fonctionnement des snippets
P4 · Moyenne · CVE-2026-101301 — WPCode ne vérifie pas correctement qu’une requête vise réellement l’écran de connexion avant d’activer son mode sécurisé pour les snippets.…