Les sujets à surveiller, en un regard.
174 alerte(s) répertoriée(s) pour 80 sujet(s) suivi(s). 4 sujet(s) en rouge, 5 en orange.
Shopify
Recherche du sujet effectuée
La recherche a examiné le candidat CVE-2025-55998. Les éléments consultés décrivent une vulnérabilité publiée en septembre 2025; la modification NVD signalée au 7 novembre 2026 n’est pas accompagnée de preuve d’un changement substantiel de sécurité durant la période demandée.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Wix
Recherche du sujet effectuée
La recherche web dédiée à Wix pour la période du 2026-11-07T00:00:00+02:00 inclus au 2026-11-08T00:00:00+02:00 exclu n’a fait apparaître aucun avis, correctif ou événement de sécurité vérifiable daté de cette période. Les résultats repérés concernant Wix étaient antérieurs à la période ou ne portaient pas sur une nouveauté de sécurité dans l’intervalle.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Solocal
Recherche du sujet effectuée
La recherche dédiée à Solocal n’a pas identifié de vulnérabilité, d’avis ou correctif de sécurité, d’exploitation, ni de changement substantiel vérifiable daté dans la période du 2026-11-07T00:00:00+02:00 au 2026-11-08T00:00:00+02:00. Les résultats pertinents trouvés concernaient des informations antérieures à cette fenêtre et n’ont pas été retenus.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Craft CMS
Recherche du sujet effectuée
La recherche dédiée a repéré des avis Craft CMS publiés en octobre 2026 et des versions publiées le 3 novembre 2026, mais aucune nouveauté de sécurité dont la date de publication ou de mise à jour soit vérifiée dans la période du 7 novembre 2026 à 00:00 au 8 novembre 2026 à 00:00 (+02:00).
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Ghost
Recherche du sujet effectuée
La recherche dédiée sur Ghost n’a fait ressortir, pour la période du 2026-11-07T00:00:00+02:00 au 2026-11-08T00:00:00+02:00, aucun avis de sécurité, correctif, événement d’exploitation ou changement substantiel vérifié comme daté dans cette fenêtre. Les avis Ghost repérés dans les résultats consultés étaient datés antérieurement à la période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Strapi
Recherche du sujet effectuée
La recherche dédiée aux sources Strapi consultées n’a identifié aucun avis, correctif de sécurité, cas d’exploitation ni changement substantiel daté du 2026-11-07 dans la période demandée. Les résultats pertinents visibles concernaient des publications antérieures à cette période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Directus
Recherche du sujet effectuée
La recherche dédiée aux avis de sécurité, CVE/NVD et publications du projet Directus n’a identifié aucun nouvel avis, correctif, événement d’exploitation ou changement substantiel daté du 2026-11-07T00:00:00+02:00 au 2026-11-08T00:00:00+02:00. Les avis consultés étaient antérieurs à la période; les résultats de versions consultés ne signalent pas de publication de sécurité dans cette fenêtre.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
OpenCart
Recherche du sujet effectuée
La recherche dédiée à OpenCart n’a identifié aucun avis, correctif, événement d’exploitation ou changement substantiel vérifié comme daté de la période demandée. La page GitHub des avis de sécurité indique qu’aucun avis n’y est publié ; les vulnérabilités OpenCart les plus récentes repérées dans les résultats consultés sont antérieures à cette période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
cPanel
Recherche du sujet effectuée
La recherche web dédiée sur cPanel n’a pas mis en évidence d’avis, de correctif ou d’événement de sécurité vérifiable daté du 2026-11-07. Les avis cPanel trouvés dans les résultats portent sur des dates antérieures à la période demandée; ils ne sont donc pas retenus.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Ruby
Recherche du sujet effectuée
La recherche ciblée n’a relevé aucun avis de sécurité Ruby correspondant à la période du 2026-11-07T00:00:00+02:00 au 2026-11-08T00:00:00+02:00. Les avis Ruby repérés sur le site du projet sont datés d’autres jours; une mise à jour du 7 novembre concernant Ruby on Rails porte sur Rails et ne constitue pas, à elle seule, un avis sur le langage Ruby.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Bun
Recherche du sujet effectuée
La recherche dédiée a repéré des avis Bun sur des vulnérabilités publiés les 23 et 24 octobre 2026, hors de la période demandée. Les résultats consultés ne montrent pas de nouvel avis, correctif de sécurité, exploitation ni changement substantiel concernant Bun daté du 7 novembre 2026; aucune vulnérabilité n’est donc retenue pour cette période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Deno
Recherche du sujet effectuée
Recherche web dédiée effectuée pour Deno sur la période du 2026-11-07T00:00:00+02:00 au 2026-11-08T00:00:00+02:00. Les sources consultées n’ont pas fait apparaître de vulnérabilité, d’avis/correctif de sécurité, d’exploitation ou de changement substantiel concernant Deno dont la date soit vérifiable dans cette fenêtre; les avis Deno trouvés étaient antérieurs. Cela ne constitue pas une affirmation d’exhaustivité de tout le Web.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Go
Recherche du sujet effectuée
Pour Go (langage et écosystème), aucune vulnérabilité, publication de correctif/avis de sécurité, exploitation ou mise à jour substantielle datée dans la période demandée n’a été vérifiée dans les sources consultées. Les entrées récentes visibles dans la base Go Vulnerability Database étaient datées du 5 novembre 2026, hors période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Kotlin
Recherche du sujet effectuée
La recherche dédiée a porté sur Kotlin et les avis de sécurité de JetBrains/GitHub, les CVE/NVD et les résultats datés autour de la période demandée. Aucun avis, correctif ou changement de sécurité Kotlin correspondant à la période du 2026-11-07 n’a été vérifié dans les sources consultées; cela ne constitue pas une preuve d’absence de toute nouveauté.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Electron
Recherche du sujet effectuée
La recherche dédiée aux avis de sécurité Electron n’a identifié aucun nouvel avis, correctif ou changement de sécurité daté du 2026-11-07 dans les résultats consultés. La page des avis GitHub consultée affiche des publications antérieures à cette période, notamment un avis du 2026-10-22 ; cela ne constitue pas un événement admissible pour le bulletin demandé.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
jQuery
Recherche du sujet effectuée
La recherche dédiée n’a identifié aucun avis ou correctif daté de la période portant sur une vulnérabilité de jQuery lui-même. Les trois CVE candidates concernent des extensions WordPress distinctes; la mention de jQuery dans la description de leur mécanisme XSS ne les rend pas pertinentes pour le sujet demandé.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Laravel
Recherche du sujet effectuée
La recherche dédiée aux avis de sécurité Laravel, aux dépôts GitHub et aux sources CVE/NVD n’a identifié aucun nouvel avis, correctif, événement d’exploitation ou changement substantiel daté du 2026-11-07 dans la période demandée. L’avis Laravel GHSA-63hm-g96r-2m2q, publié le 2026-11-04, est antérieur à cette période et n’est donc pas retenu.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Svelte
Recherche du sujet effectuée
La recherche dédiée n’a pas identifié d’avis ou de changement de sécurité Svelte vérifié comme publié pendant la période demandée. Les avis de sécurité de devalue remontés par la recherche sont datés du 8 novembre 2026 en UTC, après la borne de fin du 8 novembre à 00:00 +02:00, et sont donc exclus.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Symfony
Recherche du sujet effectuée
La recherche dédiée a identifié des avis Symfony publiés le 4 novembre 2026 et un billet récapitulatif publié le 8 novembre 2026, mais aucun événement de sécurité dont la date de publication soit établie dans la période demandée, du 7 novembre 2026 à 00:00:00+02:00 inclus au 8 novembre 2026 à 00:00:00+02:00 exclu. Le récapitulatif du 8 novembre est postérieur à la borne de fin et n’est donc pas retenu comme événement de cette période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Flask
Recherche du sujet effectuée
La recherche ciblée n’a pas identifié de nouvel avis, correctif, exploitation ni changement substantiel concernant le projet Flask pendant la période demandée. Le candidat fourni concerne FTP-Flask-python et décrit une vulnérabilité publiée en 2025; sa mise à jour NVD signalée ne suffit pas à établir un événement de sécurité daté du 7 novembre 2026.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Django
Recherche du sujet effectuée
Aucun avis, correctif, cas d’exploitation ou changement substantiel propre au framework Django n’a été identifié pour la période du 2026-11-07T00:00:00+02:00 au 2026-11-08T00:00:00+02:00. L’avis officiel Django trouvé concerne des correctifs publiés le 2026-11-03, hors période. Le candidat CVE-2026-124318 concerne Treeio, et non une vulnérabilité du framework Django.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
FastAPI
Recherche du sujet effectuée
La recherche a identifié CVE-2026-63471 concernant fastapi-code-generator, mais l’avis associé est daté du 2026-11-03, avant la période demandée. Les notes de version de FastAPI pour le 2026-11-07 mentionnent des changements de documentation et internes, sans changement de sécurité indiqué dans les résultats consultés; aucun élément examiné ne satisfait donc le critère temporel du bulletin.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Express
Recherche du sujet effectuée
La recherche dédiée sur Express n’a identifié aucun nouvel avis, correctif de sécurité, événement d’exploitation ni changement substantiel daté du 2026-11-07 dans la période demandée. Les avis publiés trouvés et la page de mises à jour de sécurité consultée portent sur des dates antérieures à cette période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
NestJS
Recherche du sujet effectuée
La recherche web dédiée à NestJS n’a identifié aucun avis de sécurité, correctif, événement d’exploitation ou changement substantiel daté du 2026-11-07T00:00:00+02:00 inclus au 2026-11-08T00:00:00+02:00 exclu. Les avis NestJS trouvés dans les résultats consultés sont datés de périodes antérieures et ne sont donc pas retenus.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
MySQL
Recherche du sujet effectuée
Aucun nouvel avis ni correctif MySQL daté de la période demandée n’a été établi par la recherche effectuée. Le candidat fourni concerne Control Web Panel et décrit une injection SQL impliquant MySQL, mais la vulnérabilité a été publiée le 2026-11-02; la mise à jour NVD du 2026-11-07 ne suffit pas à établir un changement substantiel pendant la période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
PostgreSQL
Recherche du sujet effectuée
Aucun avis ou événement de sécurité concernant le produit PostgreSQL n’a été vérifié comme nouveau ou substantiellement mis à jour pendant la période demandée. Le candidat Chartbrew concerne une application tierce utilisant PostgreSQL, et le changement indiqué pour CVE-2023-39418 n’est pas confirmé comme une modification NVD survenue dans cette période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
MongoDB
Recherche du sujet effectuée
La recherche web dédiée a consulté les avis MongoDB, les avis de sécurité GitHub du projet et les notes de version. Aucun nouvel avis, correctif, événement d’exploitation ou changement substantiel MongoDB daté dans la période demandée n’a été vérifié.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Redis
Recherche du sujet effectuée
Dans les sources consultées pour Redis, les avis de sécurité retrouvés étaient datés hors de la période demandée. Aucun nouvel avis, correctif, événement d’exploitation ou changement substantiel daté du 2026-11-07 n’a été vérifié.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Caddy
Recherche du sujet effectuée
La recherche dédiée sur Caddy n’a identifié aucun nouvel avis, correctif, signalement d’exploitation ni changement substantiel daté dans la période demandée. Les avis et publications repérés dans les résultats consultés sont datés hors de cette période et ne sont donc pas retenus.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
SvelteKit
Recherche du sujet effectuée
La recherche dédiée a consulté les avis de sécurité du projet SvelteKit et des résultats CVE/NVD. Les avis SvelteKit visibles dans les résultats sont datés d’octobre 2026, tandis que des résultats concernant devalue sont datés du 8 novembre 2026 ; aucun élément vérifié ne correspond à la période demandée, du 2026-11-07T00:00:00+02:00 inclus au 2026-11-08T00:00:00+02:00 exclu.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Babel
Recherche du sujet effectuée
La recherche dédiée sur Babel n’a identifié aucun avis de sécurité, correctif, événement d’exploitation ou changement substantiel daté du 2026-11-07 dans la période demandée. Les avis Babel repérés dans la page GitHub consultée sont antérieurs à cette période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Elasticsearch
Recherche du sujet effectuée
La recherche dédiée n’a identifié aucun avis ou événement de sécurité concernant Elasticsearch lui-même dans la période du 2026-11-07T00:00:00+02:00 au 2026-11-08T00:00:00+02:00. Le candidat fourni concerne GeoNetwork, une application tierce, et non une vulnérabilité d’Elasticsearch.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
RabbitMQ
Recherche du sujet effectuée
La recherche dédiée sur RabbitMQ a fait apparaître des avis de sécurité publiés le 2026-10-25, en dehors de la période demandée. Aucun événement daté du 2026-11-07 n’a été vérifié dans les sources consultées.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Memcached
Recherche du sujet effectuée
La recherche web dédiée à Memcached n’a pas fait ressortir d’avis, de correctif, d’exploitation ni de changement substantiel dont la date soit vérifiée dans la période du 2026-11-07T00:00:00+02:00 au 2026-11-08T00:00:00+02:00. Les résultats pertinents consultés renvoyaient à des publications antérieures à cette période; ils ne sont donc pas retenus comme événements du bulletin.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
GraphQL
Recherche du sujet effectuée
Niveau relevé : Moyenne
Deux vulnérabilités de Ryot liées à des contrôles d’autorisation dans des opérations GraphQL ont été publiées dans la période : une lecture non autorisée de collections (CVE-2026-119800) et la modification d’intégrations d’un autre utilisateur (CVE-2026-77442). Les entrées NVD de type « mise à jour » fournies pour ces mêmes CVE n’établissent pas un changement substantiel distinct dans la période.
Ryot : contrôle d’accès insuffisant dans une requête GraphQL
La requête GraphQL `collectionContents` de Ryot ne vérifiait pas les droits d’accès à la collection demandée, permettant à un utilisateur authentifié disposant de son identifiant de consulter des données d’un autre utilisateur. Mettre à jour Ryot vers la version 10.5.6 ou ultérieure.
Action recommandée : Mettre à jour Ryot vers la version 10.5.6 ou ultérieure.
Ryot : contrôle de propriété insuffisant sur une mutation GraphQL
La mutation GraphQL `createOrUpdateUserIntegration` de Ryot pouvait modifier une intégration appartenant à un autre utilisateur si son identifiant était connu, en remplaçant sa configuration ou en transférant son association. Mettre à jour Ryot vers la version 10.4.0 ou ultérieure.
Action recommandée : Mettre à jour Ryot vers la version 10.4.0 ou ultérieure.
WooCommerce
Recherche du sujet effectuée
Niveau relevé : Critique
La recherche web dédiée a été réalisée. Les fiches NVD fournies signalent neuf vulnérabilités touchant des extensions WooCommerce ou des extensions dont le chemin vulnérable implique WooCommerce, ainsi qu’une vulnérabilité dans un plugin de wishlist dont le nom mentionne WooCommerce; leurs dates de publication sont dans la période demandée. Les corrections ne sont identifiées que pour Event Tickets with Ticket Scanner (3.1.14) et Komfortkasse for WooCommerce (1.4.9); aucun élément consulté ne confirme une exploitation active. Dix fiches NVD publiées le 2026-11-07 concernent des extensions WooCommerce ou une vulnérabilité déclenchée par le paiement WooCommerce. Elles décrivent des problèmes de contrôle d’accès, d’exposition de données, de contournement d’authentification, d’élévation de privilèges et de XSS ; les sources fournies ne donnent pas de versions corrigées. Sept vulnérabilités associées à des extensions WooCommerce ont une date de première publication dans la période : CVE-2026-122041, CVE-2026-123183, CVE-2026-123461, CVE-2026-121516, CVE-2026-121857, CVE-2026-122001, CVE-2026-119510 et CVE-2026-121779. Deux autres fiches ont seulement une date de mise à jour dans la période, sans preuve fournie d’un changement substantiel ; elles ne sont donc pas retenues. Les candidats fournis signalent dix vulnérabilités publiées le 2026-11-07 dans des extensions liées à WooCommerce, notamment des défauts d’autorisation, une prise de contrôle de compte, une divulgation de données, une élévation de privilèges, des XSS et une suppression non autorisée de fichiers. Les sources fournies ne précisent pas de versions corrigées. La fiche NVD fournie indique la publication, le 7 novembre 2026, d’une vulnérabilité d’absence d’autorisation affectant FOX – WooCommerce Currency Switch…
payever – WooCommerce Gateway : téléversement de fichier pouvant mener à une exécution de code
CVE-2026-93754 affecte le plugin payever – WooCommerce Gateway et peut permettre l’écriture d’un fichier arbitraire dans le répertoire public des téléversements, avec risque d’exécution de code à distance. Les données décrivent des callbacks sans authentification et une validation du type de fichier effectuée après l’écriture ; elles ne donnent pas de version corrigée.
Action recommandée : Désactiver le plugin jusqu’à disponibilité d’un correctif et vérifier les fichiers récemment ajoutés au répertoire des téléversements.
Téléversement arbitraire et exécution de code dans Printcart Store
Le plugin Printcart Store – Web to Print Product Designer for WooCommerce permet une téléversement arbitraire de fichiers pouvant conduire à l’exécution de code à distance. Le problème touche les versions jusqu’à 2.13.2 incluse et nécessite que l’option Advanced Upload Popup soit activée.
Action recommandée : Désactiver l’option Advanced Upload Popup et appliquer une version corrigée dès qu’elle est disponible.
Naimur Email OTP Verification : contournement de la réinitialisation de mot de passe
Naimur Email OTP Verification for WooCommerce pour WordPress présente un contournement d’authentification dans le parcours de réinitialisation de mot de passe, affectant les versions jusqu’à 2.1.0 incluse. Un attaquant non authentifié peut prendre le contrôle d’un compte si son propriétaire a vérifié un code de réinitialisation sans terminer immédiatement la procédure ; aucune version corrigée n’est indiquée.
Action recommandée : Désactiver le plugin ou empêcher l’accès à son parcours de réinitialisation jusqu’à l’installation d’une version corrigée ; réinitialiser les identifiants des comptes potentiellement exposés.
Élévation de privilèges dans Registration Form for WooCommerce
CVE-2026-119075 est une élévation de privilèges dans Registration Form for WooCommerce, versions jusqu’à 1.1.4 incluses. Lors de l’inscription au paiement, le rôle fourni n’est pas limité aux rôles autorisés et peut permettre à un attaquant non authentifié de créer un compte administrateur; aucun correctif n’est précisé dans les données fournies.
Action recommandée : Désactiver le parcours d’inscription au paiement du plugin ou le plugin jusqu’à disponibilité d’un correctif, et vérifier les comptes récemment créés.
Suppression non autorisée de pièces jointes dans Checkout Field Editor for WooCommerce (Pro)
Checkout Field Editor for WooCommerce (Pro) permet la suppression non autorisée de pièces jointes dans les versions jusqu’à 3.8.0 incluse. Le gestionnaire AJAX peut être appelé sans authentification et se fonde sur un nonce exposé dans le formulaire public; NVD indique une gravité critique (CVSS 9.1).
Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est disponible; si possible, désactiver le champ de téléversement de fichier jusqu’à la mise à jour.
Injection SQL dans SliceWP Affiliates
SliceWP Affiliates présente une injection SQL via le paramètre « email », exploitable sans authentification lors d’une inscription WooCommerce My Account. La vulnérabilité concerne les versions jusqu’à 1.2.14 incluse et peut permettre l’extraction de données de la base.
Action recommandée : Mettre à jour SliceWP Affiliates dès qu’une version corrigée est disponible et surveiller les inscriptions traitées par WooCommerce.
CVE-2026-109991 — divulgation de données de commandes dans FunnelKit Payment Gateway for Stripe WooCommerce
Une faille dans le plugin FunnelKit Payment Gateway for Stripe WooCommerce permet à un attaquant non authentifié de consulter les données personnelles de facturation associées à des commandes. Les versions jusqu’à 1.15.0.2 inclus sont concernées ; aucune version corrigée ni mesure de contournement n’est précisée dans les informations fournies.
Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est disponible ; en attendant, limiter l’exposition du plugin et surveiller les accès aux pages de paiement.
Komfortkasse for WooCommerce : création possible d’un compte administrateur
CVE-2026-122001 concerne Komfortkasse for WooCommerce : avant la version 1.4.9, le plugin ne validait pas correctement l’authenticité des requêtes REST et contournait ainsi la vérification nonce de WordPress. Une requête forgée dans le navigateur d’un administrateur connecté pouvait servir à créer un compte administrateur ; mettre à jour vers la version 1.4.9 ou ultérieure.
Action recommandée : Mettre à jour Komfortkasse for WooCommerce vers la version 1.4.9 ou ultérieure.
Active Woot Products Tables : suppression non autorisée de fichiers de la médiathèque
CVE-2026-120560 permet à des attaquants non authentifiés de supprimer des pièces jointes de la médiathèque WordPress et leurs fichiers associés. La faille concerne les versions jusqu’à 2.1.5 incluse ; aucun correctif n’est précisé dans les données fournies.
Action recommandée : Désactiver le plugin jusqu’à disponibilité d’un correctif et vérifier la médiathèque ainsi que les journaux d’activité.
QODE Wishlist for WooCommerce : XSS stockée dans les listes de souhaits
CVE-2026-121516 permet à des visiteurs non authentifiés de stocker un script dans QODE Wishlist for WooCommerce, via un paramètre lié aux articles des visiteurs. L’exploitation dépend d’une interaction de la victime avec une URL de partage et d’une action d’administrateur ; aucun correctif n’est précisé dans les données fournies.
Action recommandée : Mettre à jour dès qu’un correctif est disponible et examiner les pages de souhaits ainsi que les contenus partagés suspects.
Event Tickets with Ticket Scanner : accès indu aux données de billets
CVE-2026-121857 concerne Event Tickets with Ticket Scanner : avant la version 3.1.14, le plugin ne vérifiait pas que l’utilisateur pouvait gérer les commandes WooCommerce avant de consulter ou supprimer des données de billets. Un utilisateur disposant d’un accès à l’interface du plugin, y compris un abonné si ce droit lui était accordé, pouvait consulter les codes et noms de clients ou supprimer des billets ; mettre à jour vers la version 3.1.14 ou ultérieure.
Action recommandée : Mettre à jour Event Tickets with Ticket Scanner vers la version 3.1.14 ou ultérieure.
Lecture de fichiers par traversée de répertoire dans Vanquish Upload Files for WooCommerce
Vanquish Upload Files for WooCommerce jusqu’à la version 2.7.13 présente une traversée de répertoire permettant à un utilisateur authentifié à partir du rôle Subscriber de lire des fichiers arbitraires du serveur. Le défaut concerne le traitement du nom de fichier et le contrôle d’accès aux fichiers de commande.
Action recommandée : Mettre à jour vers une version corrigée lorsqu’elle est disponible.
Exposition de données de clients dans Paystack WooCommerce Payment Gateway
Paystack WooCommerce Payment Gateway jusqu’à la version 5.8.5 peut exposer des données personnelles de clients à des attaquants non authentifiés par le paramètre key. La faille concerne les sites où la fonctionnalité facultative de métadonnées personnalisées est activée; les informations peuvent être récupérées en parcourant des identifiants de commande.
Action recommandée : Mettre à jour vers une version corrigée lorsqu’elle est disponible; désactiver la fonctionnalité de métadonnées personnalisées si elle n’est pas nécessaire.
CVE-2026-119510 — XSS stockée dans MC Woocommerce Wishlist
MC Woocommerce Wishlist présente une vulnérabilité de neutralisation incorrecte des entrées lors de la génération de pages, décrite comme une XSS stockée. La source indique que les versions jusqu’à 2.0.3 sont affectées, sans préciser les conditions d’exploitation ni une version corrigée.
Action recommandée : Vérifier la disponibilité d’une version corrigée et mettre à jour dès que possible.
CVE-2026-121779 — Exposition d’informations sensibles dans YITH WooCommerce Subscription
YITH WooCommerce Subscription présente une vulnérabilité d’exposition d’informations sensibles à une sphère de contrôle non autorisée. La source indique que les versions jusqu’à 4.22.0 sont affectées, mais ne précise ni les données exposées, ni les conditions d’accès, ni une version corrigée.
Action recommandée : Vérifier la disponibilité d’une version corrigée et mettre à jour dès que possible.
MC Woocommerce Wishlist : défaut d’autorisation
Une faille d’autorisation affecte MC Woocommerce Wishlist jusqu’à la version 2.0.3 incluse. Elle peut permettre un accès non autorisé ; mettez à jour le plugin si une version corrigée est disponible, ou désactivez-le en attendant.
Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est disponible ; sinon, désactiver le plugin.
Dropshipping XML for WooCommerce : défaut d’autorisation
Dropshipping XML for WooCommerce est affecté par une faille d’autorisation jusqu’à la version 1.7.4 incluse. En l’absence de version corrigée précisée dans la source, mettez à jour dès qu’un correctif est disponible ou désactivez le plugin provisoirement.
Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est disponible ; sinon, désactiver le plugin.
Autopay dla WooCommerce : défaut d’autorisation
Autopay dla WooCommerce présente une faille d’autorisation dans les versions jusqu’à 2.3.0 incluse. La source ne donne pas de version corrigée ; appliquez un correctif dès qu’il est disponible ou désactivez le plugin en attendant.
Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est disponible ; sinon, désactiver le plugin.
XSS stockée dans WP-Members via le paiement WooCommerce classique
WP-Members Membership Plugin présente une XSS stockée dans le parcours de paiement WooCommerce classique, via un champ multisélection, dans les versions jusqu’à 3.5.7 incluse. L’exploitation nécessite un compte avec le rôle abonné ou supérieur; la fiche indique une gravité moyenne (CVSS 6.4) et ne donne pas de version corrigée.
Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est disponible; limiter les comptes pouvant accéder au parcours de paiement concerné.
XSS stockée dans Active Woot Products Tables for WooCommerce
Active Woot Products Tables for WooCommerce présente une XSS stockée via le paramètre `help_title` dans les versions jusqu’à 2.1.5 incluse. Des attaquants authentifiés disposant au minimum du rôle contributeur peuvent injecter des scripts; NVD indique une gravité moyenne (CVSS 6.4) et ne précise pas de correctif.
Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est disponible et limiter les comptes disposant du rôle contributeur ou supérieur.
Active Products Tables for WooCommerce : vulnérabilité XSS
Active Products Tables for WooCommerce est affecté par une vulnérabilité XSS jusqu’à la version 2.1.6 incluse. La description fournie ne précise ni le vecteur d’entrée ni le niveau d’accès requis ; mettez à jour dès qu’une version corrigée est disponible.
Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est disponible.
CVE-2026-123461 — contrôle d’accès manquant dans FOX – WooCommerce Currency Switcher
Une vulnérabilité de contrôle d’accès manquant affecte le plugin FOX – WooCommerce Currency Switcher de PluginUs.Net. La fiche NVD indique que les versions jusqu’à 1.5.6 sont concernées; aucun correctif ni détail supplémentaire sur l’impact n’est fourni dans les éléments disponibles.
Action recommandée : Vérifier l’utilisation et la version du plugin; appliquer un correctif lorsqu’il sera confirmé par l’éditeur. Aucun correctif n’est indiqué dans les éléments fournis.
Simple:Press
Recherche du sujet effectuée
La recherche dédiée sur Simple:Press n’a identifié aucun avis de sécurité, correctif, exploitation signalée ou changement substantiel dont la date de publication ou d’événement tombe dans la période du 2026-11-07T00:00:00+02:00 au 2026-11-08T00:00:00+02:00. Les résultats trouvés portent sur des informations antérieures à cette période; aucun item n’est donc retenu.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Docker
Recherche du sujet effectuée
Aucune nouveauté Docker datée de la période demandée n’a été vérifiée dans les sources consultées. Le candidat fourni concerne une vulnérabilité XSS de l’interface web AATF, et non du produit Docker; la fiche NVD consultée indique une publication le 2 septembre 2025 et une dernière modification le 17 juin 2026, hors période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Kubernetes
Recherche du sujet effectuée
La recherche dédiée sur Kubernetes n’a permis de vérifier aucun avis, correctif, événement d’exploitation ni changement substantiel daté dans la période demandée. La fenêtre correspond à 2026-11-06T22:00:00Z inclus jusqu’à 2026-11-07T22:00:00Z exclu ; les résultats consultés ne fournissent pas d’élément qualifiant pour cette fenêtre.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Linux (noyau)
Recherche du sujet effectuée
Niveau relevé : Gravité à préciser
La recherche dédiée a vérifié dix publications NVD datées du 7 novembre 2026 dans la période demandée : CVE-2026-99271 à CVE-2026-99280. Elles concernent ALSA line6, le client SMB et ksmbd ; les informations disponibles ne donnent pas de versions corrigées précises ni de confirmation d’exploitation active. Quatre nouvelles vulnérabilités du noyau Linux ont été publiées par NVD le 2026-11-07 : contrôle d’accès TUN/TAP, utilisation après libération dans sch_teql, expiration conntrack TCP prématurée et propagation incorrecte d’un marqueur de fragments partagés. Les changements NVD portant seulement sur la date de mise à jour de CVE-2023-3108, CVE-2023-3106, CVE-2023-3567, CVE-2023-3812, CVE-2023-3772 et CVE-2023-3773 ne fournissent pas d’élément attestant un changement substantiel dans la période. Aucun événement Linux noyau vérifiable comme nouveauté, correctif, avis de sécurité, exploitation ou changement substantiel dans la période. Les candidats fournis signalent des modifications de fiches NVD concernant des CVE publiées antérieurement, sans élément établissant un changement substantiel; ces modifications administratives seules ne sont pas retenues. Aucun élément du lot ne fournit de preuve d’une nouvelle vulnérabilité, d’un correctif, d’un avis de sécurité, d’une exploitation ou d’un changement substantiel du noyau Linux pendant la période. Les candidats sont des mises à jour de fiches NVD relatives à des vulnérabilités publiées antérieurement; les informations fournies ne précisent pas de changement substantiel. Cinq fiches NVD publiées le 2026-11-07 décrivent des vulnérabilités du noyau Linux et leur résolution, dans ALSA Line 6, ksmbd et le client SMB. Les autres candidats sont d’anciennes CVE dont la seule date fournie dans la période est une modification NVD; a…
Linux : utilisation après libération dans le pilote ALSA Line 6
Une utilisation après libération dans le pilote ALSA Line 6 peut provoquer une lecture mémoire invalide lorsque la lecture audio reprend après la fermeture des flux de capture. Le correctif efface le pointeur et la taille du tampon de capture lors de sa libération.
Action recommandée : Appliquer un correctif du noyau intégrant la résolution décrite; aucune version corrigée précise n’est fournie dans la source.
Linux : validation insuffisante des réponses SMB2_READ
Le client SMB du noyau ne vérifiait pas que les données d’une réponse SMB2_READ se trouvaient entièrement dans la réponse reçue. Un serveur SMB malveillant pouvait ainsi provoquer une lecture hors limites lors du traitement de certaines lectures synchrones; le correctif valide les offsets et longueurs.
Action recommandée : Appliquer un correctif du noyau intégrant la validation des réponses SMB2_READ; aucune version corrigée précise n’est fournie dans la source.
Linux : dépassement de tampon dans les informations de flux ksmbd
Dans ksmbd, l’espace réservé aux informations de flux ne tenait pas compte du terminateur UTF-16 ajouté par la conversion. Une entrée remplissant exactement le petit tampon de réponse pouvait provoquer une écriture de deux octets au-delà de l’allocation; le correctif réserve l’espace nécessaire.
Action recommandée : Appliquer un correctif du noyau intégrant la réservation de l’espace du terminateur UTF-16; aucune version corrigée précise n’est fournie dans la source.
Linux : lecture invalide dans le traitement SMB des plages allouées
Le client SMB pouvait traiter comme valide une réponse tronquée vide à une requête de plages allouées, puis lire avant un pointeur nul lors du calcul de l’offset de reprise. Le correctif rejette les réponses sans plage et renforce les contrôles de progression et de limites.
Action recommandée : Appliquer un correctif du noyau intégrant les vérifications des réponses SMB2_QUERY_ALLOCATED_RANGES; aucune version corrigée précise n’est fournie dans la source.
Linux : réponse SESSION_SETUP trop courte acceptée par le client SMB
Le client SMB acceptait certaines réponses SESSION_SETUP trop courtes et pouvait lire des champs dans des données résiduelles du tampon de réception. Une longueur non validée pouvait ensuite conduire à une lecture hors limites et à la retransmission de données au serveur; le correctif rejette les réponses courtes et valide les limites du champ de sécurité.
Action recommandée : Appliquer un correctif du noyau intégrant les contrôles de taille et de limites des réponses SESSION_SETUP; aucune version corrigée précise n’est fournie dans la source.
Linux : éviter un interblocage lors du nettoyage des connexions ksmbd
Une interblocage entre le worker d’expiration ksmbd et les verrous de session pouvait empêcher le nettoyage des connexions. Le correctif évite d’attendre ces verrous pendant le contrôle et permet au worker de réessayer ultérieurement.
Action recommandée : Appliquer le correctif Linux correspondant lorsqu’il est disponible.
Linux : conserver les connexions référencées par les canaux de session ksmbd
La suppression d’une session ksmbd pouvait laisser ses canaux référencer une connexion libérée, notamment lors d’une liaison SMB3.1.1 ou d’une lecture procfs. Le correctif conserve une référence à la connexion pour chaque canal et la libère au retrait du canal ou à la destruction finale de la session.
Action recommandée : Appliquer le correctif Linux correspondant lorsqu’il est disponible.
Linux : limiter les sessions ksmbd par connexion
ksmbd pouvait accumuler un nombre non borné de sessions authentifiées sur une connexion, car la limite ne comptait que les sessions en attente. Le correctif réserve et restitue des emplacements de session selon leur cycle de vie et ajoute une limite configurable par connexion, avec une valeur par défaut de 64 si l’ancienne interface laisse le champ à zéro.
Action recommandée : Appliquer le correctif Linux correspondant lorsqu’il est disponible et configurer la limite adaptée à l’environnement.
Linux : récupérer les sessions ksmbd terminées
Les sessions ksmbd terminées pouvaient rester en mémoire et retenir des emplacements de connexion lorsque aucune nouvelle demande de configuration n’arrivait. Le correctif récupère ces sessions expirées dans le worker périodique, tout en préservant celles dont les identifiants Kerberos expirés peuvent encore permettre une réauthentification.
Action recommandée : Appliquer le correctif Linux correspondant lorsqu’il est disponible.
Linux : drainer les lecteurs procfs avant de libérer les sessions ksmbd
Une entrée procfs de session ksmbd pouvait encore être lue après la libération de la référence de table, avec un risque d’attente indéfinie lors de la suppression de cette entrée depuis son propre callback. Le correctif draine les lecteurs procfs avant de libérer les références et détache aussi la table de fichiers avant sa destruction.
Action recommandée : Appliquer le correctif Linux correspondant lorsqu’il est disponible.
Linux : exiger CAP_NET_ADMIN pour rejoindre un appareil TUN/TAP sans propriétaire
Un appareil TUN/TAP persistant sans propriétaire ni groupe pouvait être rejoint sans CAP_NET_ADMIN par un processus ayant accès au nœud de périphérique. Le correctif exige cette capacité dans ce cas, tout en conservant l’autorisation par propriétaire et/ou groupe lorsque ces attributs sont définis.
Action recommandée : Appliquer le correctif Linux correspondant lorsqu’il est disponible; vérifier les usages d’appareils TUN/TAP sans propriétaire ni groupe.
Linux : corriger une utilisation après libération dans sch_teql
Dans sch_teql, un retour d’erreur indiquant que le paquet avait déjà été consommé pouvait conduire à réutiliser un skb libéré après un rejet par la qdisc inférieure. Le correctif utilise dev_xmit_complete() pour distinguer les paquets consommés des paquets encore détenus et comptabilise les rejets comme paquets abandonnés.
Action recommandée : Appliquer le correctif Linux correspondant lorsqu’il est disponible.
Linux : corriger le délai conntrack des RST non fermants
Un paquet RST non exact qui laissait le suivi conntrack à l’état ESTABLISHED pouvait néanmoins déclencher le délai d’expiration court réservé à la fermeture. Le correctif utilise le délai UNACK dans ce cas, sans modifier le traitement des RST acceptés comme fermant le flux.
Action recommandée : Appliquer le correctif Linux correspondant lorsqu’il est disponible.
Linux : propager le marqueur de fragments partagés dans skb_zerocopy()
skb_zerocopy() ne copiait pas le marqueur signalant des fragments partagés, ce qui pouvait permettre à ESP d’écrire en place dans des pages du cache de fichiers. Le correctif propage le marqueur SKBFL_SHARED_FRAG lors du transfert des descripteurs de fragments.
Action recommandée : Appliquer le correctif Linux correspondant lorsqu’il est disponible.
Debian
Vérification incomplète
Niveau relevé : Gravité à préciser
La page officielle Debian LTS répertorie un avis de sécurité pour cjose daté du 7 novembre 2026. Les candidats fournis sont des modifications de fiches NVD concernant des CVE publiées antérieurement ; les éléments consultés ne montrent pas qu’il s’agisse de nouvelles vulnérabilités, de correctifs Debian ou d’un changement substantiel pendant la période. Trois avis de sécurité Debian datés du 2026-11-07 ont été retenus : LibreOffice (DSA-6615-1), ruby3.3 (DSA-6614-1) et zlib (DSA-6613-1). Les avis fournis ne précisent pas les CVE ni les versions corrigées. Les autres candidats sont des modifications NVD de fiches antérieures ou un avis publié avant la période. L’avis Debian DLA-4887-1, daté du 2026-11-07, décrit deux vulnérabilités de cjose : un dépassement de tampon au déchiffrement de JWE (CVE-2026-53938) et une génération de clé défectueuse affectant la confidentialité et l’intégrité de certains JWE (CVE-2026-53939).
DSA-6615-1 : mise à jour de sécurité de LibreOffice
Debian a publié une mise à jour de sécurité de LibreOffice après la découverte d’un dépassement de tampon lors du traitement de fichiers de base de données dBASE. La faille pourrait permettre l’exécution de code arbitraire ; l’avis fourni ne précise ni CVE ni versions corrigées.
Action recommandée : Installer la mise à jour de sécurité Debian pour LibreOffice.
DSA-6614-1 : mise à jour de sécurité de ruby3.3
Debian a publié un avis de sécurité pour ruby3.3 signalant plusieurs vulnérabilités de l’interpréteur Ruby. Selon l’avis fourni, elles peuvent provoquer une injection de commandes IMAP, un déni de service, une divulgation d’informations ou l’exécution de code arbitraire ; les CVE et versions corrigées ne sont pas indiquées dans les données reçues.
Action recommandée : Installer la mise à jour de sécurité Debian pour ruby3.3.
DSA-6613-1 : mise à jour de sécurité de zlib
Debian a publié un avis de sécurité concernant plusieurs vulnérabilités de la bibliothèque de compression zlib. Le traitement d’entrées spécialement conçues pourrait provoquer un déni de service ou potentiellement permettre l’exécution de code arbitraire ; les CVE et versions corrigées ne sont pas précisées dans les données reçues.
Action recommandée : Installer la mise à jour de sécurité Debian pour zlib.
Debian corrige un dépassement de tampon dans cjose lors du déchiffrement de JWE
Dans cjose, la vérification insuffisante de la longueur de la clé lors du déchiffrement de JWE avec A128KW, A192KW ou A256KW permet à un attaquant distant de provoquer un dépassement de tampon sur le tas et de faire planter l’application. Mettre à jour le paquet selon l’avis Debian DLA-4887-1.
Action recommandée : Appliquer la mise à jour Debian correspondant à DLA-4887-1.
Debian corrige une génération de clé défectueuse dans cjose
Dans cjose, le chiffrement de JWE avec A128CBC-HS256, A192CBC-HS384 ou A256CBC-HS512 pouvait produire une clé de contenu composée d’octets nuls lorsque l’algorithme de gestion de clé générait une nouvelle clé. Un détenteur du jeton peut alors lire et modifier son contenu, y compris celui d’un jeton déjà émis.
Action recommandée : Appliquer la mise à jour Debian correspondant à DLA-4887-1.
Alpine Linux
Vérification incomplète
Une analyse publiée le 2026-11-07 a apporté des précisions techniques sur CVE-2026-123158, une faille OpenSSH concernant certaines configurations Alpine Linux. L’avis Alpine initial date du 2026-11-05 et est donc hors de la période demandée.
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
Apache HTTP Server
Recherche du sujet effectuée
Aucun avis, correctif, événement d’exploitation ou changement substantiel Apache HTTP Server daté de la période demandée n’a été établi dans les résultats consultés. La page officielle annonce Apache HTTP Server 2.4.70 comme publié le 2026-11-06, avant le début de la période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Nginx
Recherche du sujet effectuée
La recherche dédiée sur Nginx n’a identifié aucun avis, correctif, événement d’exploitation ou changement substantiel dont la date publiée tombe dans la période du 2026-11-07T00:00:00+02:00 inclus au 2026-11-08T00:00:00+02:00 exclu. Les résultats consultés relatifs aux avis et correctifs repérés sont datés d’autres jours; ils ne sont donc pas retenus.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
PHP
Recherche du sujet effectuée
Recherche web dédiée effectuée sur PHP et php-fpm, notamment sur les sources du projet PHP et les avis GitHub. Aucun nouvel avis, correctif ou événement de sécurité propre à PHP/PHP-FPM daté de la période demandée n’a été vérifié. Les candidats fournis portent sur FileGator ou des extensions WordPress, et non sur PHP comme sujet unique. Aucun candidat ne concerne le produit PHP ni php-fpm : les fiches portent sur des extensions WordPress. Les vulnérabilités PHP Object Injection mentionnées sont des défauts de ces extensions, et non des avis de sécurité du sujet demandé. Aucun candidat ne documente une vulnérabilité du langage ou de l’environnement d’exécution PHP : les trois publications concernent des extensions ou applications WordPress/PHP distinctes. Les autres candidats sont des mises à jour de fiches NVD préexistantes, sans preuve dans les données fournies d’un changement substantiel pertinent pour le sujet. Aucun candidat ne concerne le langage ou l’environnement d’exécution PHP : les mentions de « PHP » désignent des produits tiers ou figurent dans leur nom. Les candidats sont des modifications de fiches NVD, sans élément fourni établissant un changement substantiel pertinent pour le sujet demandé. Aucun candidat fourni n’établit une vulnérabilité, un correctif ou un changement substantiel concernant PHP (le langage ou PHP-FPM) dans la période demandée. Les candidats décrivent des produits tiers ou signalent uniquement une mise à jour de fiche NVD, sans preuve d’un événement substantiel daté dans cette période. Aucun candidat ne décrit une vulnérabilité du produit PHP lui-même. Les candidats concernent FileGator ou des extensions WordPress ; la mention de PHP dans CVE-2026-120839 désigne le type de vulnérabilité d’inclusion, non le produit PHP. Aucun élément vé…
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
WordPress
Vérification incomplète
Niveau relevé : Critique
La recherche web a retrouvé les pages NVD des CVE fournies et des bases de vulnérabilités WordPress consultées. Les 11 candidats fournis indiquent des publications NVD le 7 novembre 2026, dans la période demandée; ils concernent des vulnérabilités de plugins WordPress. Aucun correctif ni exploitation active n’est établi par les éléments consultés. Les candidats fournis décrivent dix vulnérabilités de plugins WordPress dont les fiches NVD ont été publiées le 2026-11-07 : des failles XSS, une modification de profil, une inclusion de fichier local, une divulgation de cookies et une lecture de fichiers. Les informations de publication et les détails rapportés sont ceux des fiches citées ; aucune version corrigée n’est indiquée dans les éléments fournis. Les candidats fournis décrivent dix vulnérabilités distinctes touchant des extensions WordPress, publiées par le NVD le 7 novembre 2026 : XSS stockées, contournement d’autorisation, suppression de fichiers de la médiathèque et téléversement pouvant conduire à une exécution de code. Les informations fournies ne précisent pas de versions corrigées ni d’exploitation confirmée dans la nature. Les candidats fournis décrivent dix vulnérabilités de plugins ou d’un thème WordPress dont les fiches NVD ont été publiées le 2026-11-07, ainsi qu’une fiche publiée ce jour-là pour une vulnérabilité CVE-2025. Les éléments rapportés incluent des XSS, une injection SQL, un téléversement arbitraire pouvant conduire à l’exécution de code et des défauts d’autorisation ou de contrôle d’accès; aucune exploitation active n’est établie par les informations fournies. Onze vulnérabilités WordPress ont été retenues à partir des fiches NVD fournies, toutes publiées dans la période demandée : une dans FV Flowplayer Video Player, une dans WP Google Revie…
payever – WooCommerce Gateway : téléversement de fichier pouvant mener à une exécution de code
CVE-2026-93754 affecte le plugin payever – WooCommerce Gateway et peut permettre l’écriture d’un fichier arbitraire dans le répertoire public des téléversements, avec risque d’exécution de code à distance. Les données décrivent des callbacks sans authentification et une validation du type de fichier effectuée après l’écriture ; elles ne donnent pas de version corrigée.
Action recommandée : Désactiver le plugin jusqu’à disponibilité d’un correctif et vérifier les fichiers récemment ajoutés au répertoire des téléversements.
Téléversement arbitraire et exécution de code dans Printcart Store
Le plugin Printcart Store – Web to Print Product Designer for WooCommerce permet une téléversement arbitraire de fichiers pouvant conduire à l’exécution de code à distance. Le problème touche les versions jusqu’à 2.13.2 incluse et nécessite que l’option Advanced Upload Popup soit activée.
Action recommandée : Désactiver l’option Advanced Upload Popup et appliquer une version corrigée dès qu’elle est disponible.
Naimur Email OTP Verification : contournement de la réinitialisation de mot de passe
Naimur Email OTP Verification for WooCommerce pour WordPress présente un contournement d’authentification dans le parcours de réinitialisation de mot de passe, affectant les versions jusqu’à 2.1.0 incluse. Un attaquant non authentifié peut prendre le contrôle d’un compte si son propriétaire a vérifié un code de réinitialisation sans terminer immédiatement la procédure ; aucune version corrigée n’est indiquée.
Action recommandée : Désactiver le plugin ou empêcher l’accès à son parcours de réinitialisation jusqu’à l’installation d’une version corrigée ; réinitialiser les identifiants des comptes potentiellement exposés.
Élévation de privilèges dans Registration Form for WooCommerce
CVE-2026-119075 est une élévation de privilèges dans Registration Form for WooCommerce, versions jusqu’à 1.1.4 incluses. Lors de l’inscription au paiement, le rôle fourni n’est pas limité aux rôles autorisés et peut permettre à un attaquant non authentifié de créer un compte administrateur; aucun correctif n’est précisé dans les données fournies.
Action recommandée : Désactiver le parcours d’inscription au paiement du plugin ou le plugin jusqu’à disponibilité d’un correctif, et vérifier les comptes récemment créés.
Suppression non autorisée de pièces jointes dans Checkout Field Editor for WooCommerce (Pro)
Checkout Field Editor for WooCommerce (Pro) permet la suppression non autorisée de pièces jointes dans les versions jusqu’à 3.8.0 incluse. Le gestionnaire AJAX peut être appelé sans authentification et se fonde sur un nonce exposé dans le formulaire public; NVD indique une gravité critique (CVSS 9.1).
Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est disponible; si possible, désactiver le champ de téléversement de fichier jusqu’à la mise à jour.
LatePoint : contournement d’authentification et prise de contrôle de compte
LatePoint est vulnérable à un contournement d’authentification permettant la prise de contrôle d’un compte client et, dans certaines configurations, d’un compte WordPress associé. La fiche NVD publiée pendant la période indique que toutes les versions jusqu’à 5.7.6 inclus sont concernées; aucun correctif n’est précisé dans les informations fournies.
Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est disponible; vérifier auprès de l’éditeur la version à installer.
Tournamatch : suppression de fichiers arbitraires sur le serveur
Un utilisateur disposant d’un rôle aussi bas que Subscriber peut faire supprimer des fichiers arbitraires du serveur lors du téléversement d’une nouvelle image de profil ou d’équipe. Tournamatch est concerné avant la version 4.7.1 ; mettez le plugin à jour vers la version 4.7.1 ou ultérieure.
Action recommandée : Mettre à jour Tournamatch vers la version 4.7.1 ou ultérieure.
Fiber Admin : exécution de code sous conditions de concurrence
Un attaquant non authentifié peut exécuter du code arbitraire sous certaines conditions : la page d’erreur personnalisée de base de données doit être activée et l’attaquant doit gagner une course contre un administrateur qui enregistre les réglages. Fiber Admin est concerné avant la version 4.0.1 ; mettez le plugin à jour vers la version 4.0.1 ou ultérieure.
Action recommandée : Mettre à jour Fiber Admin vers la version 4.0.1 ou ultérieure.
Injection SQL dans SliceWP Affiliates
SliceWP Affiliates présente une injection SQL via le paramètre « email », exploitable sans authentification lors d’une inscription WooCommerce My Account. La vulnérabilité concerne les versions jusqu’à 1.2.14 incluse et peut permettre l’extraction de données de la base.
Action recommandée : Mettre à jour SliceWP Affiliates dès qu’une version corrigée est disponible et surveiller les inscriptions traitées par WooCommerce.
CVE-2026-109991 — divulgation de données de commandes dans FunnelKit Payment Gateway for Stripe WooCommerce
Une faille dans le plugin FunnelKit Payment Gateway for Stripe WooCommerce permet à un attaquant non authentifié de consulter les données personnelles de facturation associées à des commandes. Les versions jusqu’à 1.15.0.2 inclus sont concernées ; aucune version corrigée ni mesure de contournement n’est précisée dans les informations fournies.
Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est disponible ; en attendant, limiter l’exposition du plugin et surveiller les accès aux pages de paiement.
CVE-2026-104913 : téléversement arbitraire de fichiers dans Interactive Real Estate
Interactive Real Estate – Floor Plan & Building Visualizer est affecté par une vulnérabilité de téléversement de fichiers jusqu’à la version 2.6.0. Elle peut permettre à un utilisateur authentifié de téléverser des fichiers exécutables lorsque la licence Premium ou d’essai Freemius est active ; mettre à jour le plugin dès qu’un correctif est disponible.
Action recommandée : Mettre à jour le plugin dès qu’une version corrigée est disponible ; vérifier si une licence Premium ou d’essai est active.
XSS stockée dans le plugin WordPress Optimole
Optimole présente une XSS stockée via le paramètre `comment`, exploitable sans authentification lorsque le plugin est connecté et que le remplacement d’images est activé. La charge est décodée à l’affichage après avoir échappé aux filtres de commentaires WordPress ; aucun correctif n’est indiqué dans la source.
Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est disponible ; si nécessaire, désactiver temporairement le remplacement d’images ou la connexion concernée.
XSS stockée dans le plugin WordPress Flying Images
Flying Images présente une XSS stockée via le paramètre `comment`, exploitable sans authentification. Avec la configuration de modération par défaut, le premier commentaire doit être approuvé ; les commentaires suivants du même nom et de la même adresse e-mail peuvent ensuite contourner la modération, et aucun correctif n’est indiqué dans la source.
Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est disponible ; modérer les commentaires et examiner les commentaires déjà approuvés.
XSS stockée dans GeoDirectory pour WordPress
Le plugin GeoDirectory pour WordPress présente une XSS stockée via le paramètre `post_content`, résultant d’un filtrage insuffisant des shortcodes imbriqués et de leurs attributs. La vulnérabilité concerne les versions jusqu’à 2.8.200 incluse et peut permettre l’injection de scripts dans des pages consultées par les utilisateurs.
Action recommandée : Mettre à jour le plugin vers une version corrigée dès qu’elle est disponible; aucune version corrigée n’est indiquée dans les informations fournies.
XSS stockée dans le plugin WordPress Form Maker by 10Web
Le plugin WordPress Form Maker by 10Web présente une XSS stockée exploitable par un attaquant non authentifié au moyen d’un champ caché insuffisamment assaini. L’exécution nécessite qu’un administrateur ouvre l’écran des soumissions et clique sur le lien Show-on-Map associé à l’entrée piégée.
Action recommandée : Consulter l’avis de l’éditeur pour déterminer la version corrigée et appliquer le correctif disponible.
XSS stockée dans le plugin iubenda pour WordPress
Le plugin iubenda pour WordPress présente une XSS stockée liée au retrait puis à la restauration de fragments HTML dans les commentaires. La vulnérabilité concerne les versions jusqu’à 3.13.6 incluse et peut être exploitée après approbation d’un commentaire par un administrateur.
Action recommandée : Mettre à jour le plugin vers une version corrigée dès qu’elle est disponible; aucune version corrigée n’est indiquée dans les informations fournies.
XSS stockée dans Pie Register pour WordPress
Le plugin Pie Register pour WordPress présente une XSS stockée via le paramètre `first_name`. La vulnérabilité concerne les versions jusqu’à 3.8.4.16 incluse et son exploitation décrite dépend de l’inscription publique, de la présence d’un champ Profile Picture et d’un commentaire publié par le compte créé.
Action recommandée : Mettre à jour le plugin vers une version corrigée dès qu’elle est disponible; si possible, désactiver l’inscription publique ou retirer le champ concerné en attendant.
XSS stockée dans Optimole pour WordPress via les commentaires
Le plugin Optimole pour WordPress présente une XSS stockée via le paramètre `comment`. La vulnérabilité concerne les versions jusqu’à 4.2.18 incluse et nécessite, selon les informations fournies, l’approbation du commentaire ainsi qu’un contenu comportant au moins un élément iframe ou vidéo.
Action recommandée : Mettre à jour le plugin vers une version corrigée dès qu’elle est disponible; aucune version corrigée n’est indiquée dans les informations fournies.
XSS stockée dans TranslatePress
TranslatePress présente une vulnérabilité de XSS stockée via le paramètre « comment ». L’exploitation est possible sans authentification, mais requiert notamment un commentaire antérieur approuvé pour la même paire nom/adresse électronique et une langue secondaire configurée.
Action recommandée : Mettre à jour TranslatePress dès qu’une version corrigée est disponible et examiner les commentaires approuvés concernés.
Strong Testimonials : XSS stockée dans le paramètre star_rating
Strong Testimonials présentait une faille de XSS stockée via le paramètre « star_rating », permettant à un attaquant non authentifié d’injecter un script. Toutes les versions jusqu’à 3.3.16 inclus sont concernées ; l’exécution suppose qu’un administrateur ouvre le lien d’aperçu d’un témoignage en attente, et aucune version corrigée n’est précisée dans la source.
Action recommandée : Vérifier auprès de l’éditeur la disponibilité d’un correctif et mettre le plugin à jour dès qu’il est proposé.
Unlimited Elements for Elementor : XSS via un flux RSS contrôlé
Unlimited Elements for Elementor était vulnérable à une XSS stockée via le contenu d’un flux RSS contrôlé par l’attaquant, dans les sites utilisant le widget de catalogue RSS configuré vers ce flux. Toutes les versions jusqu’à 2.0.26 inclus sont concernées ; la source ne donne pas de version corrigée.
Action recommandée : Éviter de configurer le widget de catalogue RSS avec une URL contrôlée par un tiers non fiable et appliquer un correctif dès sa disponibilité.
XSS stocké dans TranslatePress
TranslatePress jusqu’à la version 3.3.8 présente une XSS stockée déclenchable sans authentification via des paramètres liés aux commentaires et aux données de langue. Le script injecté s’exécute lorsqu’un utilisateur consulte une page affectée.
Action recommandée : Mettre à jour vers une version corrigée lorsqu’elle est disponible.
XSS stocké dans AgenWebsite Shipping
AgenWebsite Shipping jusqu’à la version 9.2.41 présente une XSS stockée via le paramètre zipcode, exploitable sans authentification. Le script injecté s’exécute dans les pages affectées lorsqu’elles sont consultées.
Action recommandée : Mettre à jour vers une version corrigée lorsqu’elle est disponible.
Désérialisation PHP non sûre dans QA Assistants
QA Assistants jusqu’à la version 5.3.0 présente une désérialisation PHP non sûre accessible sans authentification, susceptible de conduire à une écriture arbitraire de fichier et à une exécution de code à distance. Le déclenchement dépend du traitement planifié d’un fichier de file d’attente par l’événement wp-cron du plugin.
Action recommandée : Mettre à jour vers une version corrigée lorsqu’elle est disponible; examiner la présence et le traitement des fichiers de file d’attente concernés.
Advanced Form Integration : injection d’objets PHP
La fiche NVD publiée le 2026-11-07 signale une injection d’objets PHP dans Advanced Form Integration jusqu’à la version 2.10.2 incluse. Elle peut devenir plus grave si un autre composant du site fournit une chaîne POP; mettez à jour dès qu’un correctif est disponible et vérifiez les intégrations NexForms actives.
Action recommandée : Mettre à jour vers une version corrigée dès sa disponibilité; examiner et désactiver les intégrations NexForms actives non nécessaires.
WPJAM Basic : élévation de privilèges lors de l’inscription
La fiche NVD publiée le 2026-11-07 décrit une élévation de privilèges dans WPJAM Basic jusqu’à la version 7.1 incluse. Sous certaines conditions de configuration, un attaquant non authentifié peut créer un compte administrateur; mettez à jour dès qu’un correctif est disponible et vérifiez l’inscription ouverte et les fournisseurs de connexion sociale.
Action recommandée : Mettre à jour vers une version corrigée dès sa disponibilité; contrôler les réglages d’inscription ouverte et de connexion sociale.
Amelia : accès non autorisé aux données des participants
La fiche NVD publiée le 2026-11-07 décrit une exposition de données de participants dans Amelia jusqu’à la version 9.9.1 incluse. Un compte authentifié ayant le rôle wpamelia-customer ou des privilèges supérieurs peut obtenir le CSV des participants de n’importe quel événement; mettez à jour dès qu’un correctif est disponible et vérifiez les accès accordés aux comptes clients.
Action recommandée : Mettre à jour vers une version corrigée dès sa disponibilité et réexaminer les comptes dotés du rôle wpamelia-customer.
wpForo Forum : injection SQL non authentifiée
La fiche NVD publiée le 2026-11-07 signale une injection SQL dans wpForo Forum jusqu’à la version 3.2.2 incluse. Un attaquant non authentifié peut exploiter le paramètre href[locale] pour accéder à des informations sensibles de la base de données; mettez à jour dès qu’un correctif est disponible.
Action recommandée : Mettre à jour vers une version corrigée dès sa disponibilité.
wpForo Forum : élévation de privilèges par groupe secondaire
La fiche NVD publiée le 2026-11-07 décrit une élévation de privilèges dans wpForo Forum jusqu’à la version 3.2.2 incluse. Un utilisateur authentifié de niveau abonné ou supérieur peut obtenir des privilèges d’administrateur wpForo sous certaines conditions; mettez à jour dès qu’un correctif est disponible et surveillez les groupes et profils concernés.
Action recommandée : Mettre à jour vers une version corrigée dès sa disponibilité; examiner les groupes secondaires et les privilèges wpForo attribués.
WordPress — injection SQL dans wpForo Forum
wpForo Forum est vulnérable à une injection SQL jusqu’à la version 3.2.1 incluse, via le paramètre data, lorsque certains champs de formulaire de recherche sont configurés. Un attaquant non authentifié peut alors extraire des informations sensibles de la base de données; mettez à jour le module dès qu’un correctif est disponible.
Action recommandée : Mettre à jour wpForo Forum dès qu’un correctif est disponible et vérifier si la configuration des formulaires concernés est présente.
Motors : suppression arbitraire de fichiers dans les téléversements
Motors – Car Dealership & Classified Listings Plugin pour WordPress présente une suppression arbitraire de fichiers due à une validation insuffisante des chemins, dans toutes les versions jusqu’à 1.4.125 incluse. La description précise que la suppression est limitée à « wp-content/uploads » ; aucune version corrigée n’est mentionnée.
Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est disponible ; dans l’intervalle, désactiver le plugin ou limiter les comptes authentifiés non fiables.
WordPress — création possible d’un compte administrateur via AutomatorWP
AutomatorWP permet une élévation de privilèges jusqu’à la version 6.0.4 incluse lorsqu’une automatisation anonyme utilise des données dynamiques pour définir un rôle. Dans la configuration décrite, l’approbation d’un commentaire peut entraîner la création d’un compte administrateur contrôlé par un attaquant; mettez à jour le module dès qu’un correctif est disponible et vérifiez les automatisations concernées.
Action recommandée : Mettre à jour AutomatorWP dès qu’un correctif est disponible et examiner les automatisations anonymes qui lient le rôle à une donnée dynamique.
User Frontend : XSS stockée via un champ de taxonomie
User Frontend pour WordPress présente une XSS stockée dans la configuration d’une taxonomie, dans toutes les versions jusqu’à 4.3.13 incluse. L’exploitation par un visiteur non authentifié nécessite qu’un formulaire frontal permette les soumissions invitées et comporte un champ Taxonomy en mode saisie texte.
Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est disponible ; désactiver les soumissions invitées ou les champs de taxonomie en saisie texte si nécessaire.
WP Visitor Statistics : XSS stockée via le suivi des visiteurs
WP Visitor Statistics (Real Time Traffic) pour WordPress présente une XSS stockée via le paramètre « browser », dans toutes les versions jusqu’à 8.7.1 incluse. Un attaquant non authentifié peut enregistrer la charge par le point de suivi public ; celle-ci s’exécute dans le navigateur d’un administrateur lorsque le libellé est rendu dans le graphique concerné.
Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est disponible ; dans l’intervalle, désactiver le plugin ou restreindre l’accès à son endpoint de suivi.
XSS stockée dans JetFormBuilder
CVE-2026-111317 est une XSS stockée dans JetFormBuilder, versions jusqu’à 3.6.7 incluses, due à une validation et un échappement insuffisants. Elle nécessite un formulaire avec enregistrement activé et un préréglage d’enregistrement; aucun correctif ni contournement n’est indiqué dans les données fournies.
Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est disponible; à défaut, désactiver les fonctions d’enregistrement et les préréglages concernés.
XSS stockée dans WP Visitor Statistics
CVE-2026-111370 concerne une XSS stockée dans WP Visitor Statistics (Real Time Traffic), versions jusqu’à 8.9.0 incluses. Des scripts injectés peuvent s’exécuter lorsqu’un utilisateur consulte une page affectée; aucun correctif ni contournement n’est précisé dans les données fournies.
Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est disponible; limiter l’exposition du plugin si aucun correctif n’est disponible.
XSS stockée dans Quttera ThreatSign
CVE-2026-115548 est une XSS stockée dans Quttera ThreatSign – Web Malware Scanner, versions jusqu’à 4.1.0.48 incluses. Un script injecté peut s’exécuter lorsqu’un administrateur consulte une page affectée; les données fournies ne précisent ni version corrigée ni contournement.
Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est disponible; limiter l’accès administrateur aux pages exposées si nécessaire.
XSS stockée dans Link Library
CVE-2026-116537 est une XSS stockée dans Link Library, versions jusqu’à 7.10.0 incluses. Son exploitation dépend de l’activation du réglage non standard qui convertit les crochets en balises HTML; aucun correctif n’est précisé dans les informations fournies.
Action recommandée : Désactiver le réglage use_html_tags et mettre à jour vers une version corrigée dès qu’elle est disponible.
Injection SQL dans Amelia Pro
Une injection SQL par le paramètre tag[] peut permettre à un attaquant non authentifié d’extraire des informations sensibles de la base de données. Les versions jusqu’à 9.9.1 incluse sont concernées ; aucun correctif ni contournement n’est précisé dans les informations fournies.
Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est disponible ; en attendant, évaluer la désactivation du plugin.
Contournement des restrictions d’écriture dans WP Data Access
CVE-2026-118267 est une faille d’autorisation dans WP Data Access, versions jusqu’à 5.5.89 incluses, permettant d’écrire hors des restrictions de lignes et de colonnes configurées. Selon la configuration des Data Apps, un attaquant authentifié dès le rôle d’abonné, voire anonyme, peut modifier des données sensibles et aboutir à une prise de contrôle du site; aucun correctif n’est indiqué dans les données fournies.
Action recommandée : Désactiver les écritures des Data Apps exposées aux utilisateurs non fiables et mettre à jour vers une version corrigée dès qu’elle est disponible.
XSS stockée dans JetFormBuilder via un formulaire public
CVE-2026-119183 est une XSS stockée dans JetFormBuilder, versions jusqu’à 3.6.8 incluses. Elle nécessite un formulaire public Insert Post écrivant dans une métadonnée et un champ calculé qui référence cette métadonnée; aucun correctif ni contournement n’est précisé dans les données fournies.
Action recommandée : Désactiver ou restreindre les formulaires publics Insert Post et les champs calculés concernés, puis appliquer une version corrigée dès qu’elle est disponible.
XSS stockée dans WS Form LITE (CVE-2026-122231)
WS Form LITE jusqu’à la version 1.12.18 incluse présente une XSS stockée via le paramètre `field_[0][0]`, exploitable sans authentification. Une valeur non textuelle contourne l’échappement côté client et atteint jQuery `.append()` sans échappement ; aucune version corrigée n’est indiquée.
Action recommandée : Mettre à jour dès disponibilité d’une version corrigée et surveiller les soumissions de formulaire.
XSS stockée dans Church Admin (CVE-2026-123418)
Church Admin jusqu’à la version 5.1.7 incluse présente une XSS stockée via le paramètre `lat`, exploitable sans authentification lorsque la clé d’API Google Maps est configurée dans les réglages du plugin. La source ne fournit ni version corrigée ni contournement.
Action recommandée : Mettre à jour dès disponibilité d’un correctif ; si la fonction cartographique n’est pas nécessaire, vérifier la possibilité de retirer la clé d’API configurée.
XSS stockée dans VikBooking (CVE-2026-93429)
VikBooking jusqu’à la version 1.8.17 incluse présente une XSS stockée via le paramètre `guests[][][documents]`. L’attaque nécessite une paire valide `sid/ts`, obtenable par une réservation publique standard selon la source ; aucune version corrigée ni mesure de contournement n’est indiquée.
Action recommandée : Mettre à jour dès disponibilité d’une version corrigée et examiner les données de réservation soumises pour détecter des contenus suspects.
XSS stockée dans Happyforms (CVE-2026-93755)
Happyforms jusqu’à la version 1.38.9 incluse présente une XSS stockée via les en-têtes IP client usurpables lors de soumissions de formulaire non authentifiées. La valeur est stockée puis affichée sans échappement dans l’écran d’administration des soumissions ; la source ne précise pas de version corrigée.
Action recommandée : Mettre à jour dès disponibilité d’un correctif et examiner avec prudence les soumissions, notamment avant leur consultation dans l’administration.
XSS stockée dans Happyforms Pro
Happyforms Pro présente une XSS stockée via le paramètre `happyforms_client_referer`, exploitable sans authentification dans les versions jusqu’à 1.38.9 incluse. La fiche NVD indique une gravité élevée (CVSS 7.2), mais ne fournit ici ni version corrigée ni mesure de contournement.
Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est disponible; à défaut, limiter l’accès aux formulaires et surveiller les pages concernées.
XSS stockée dans Download Manager
Download Manager présente une XSS stockée dans les champs d’inscription, dans les versions jusqu’à 7.5.9 incluse. Le scénario décrit exige que l’inscription publique soit activée, que le formulaire du plugin soit publié et qu’un paquet rédigé par l’utilisateur d’identifiant 1 soit rendu avec le modèle Spotlight; NVD indique une gravité élevée (CVSS 7.2).
Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est disponible; en attendant, désactiver l’inscription publique ou retirer le formulaire et le rendu concernés.
XSS stockée dans le plugin WordPress Optimole
Le plugin WordPress Optimole est vulnérable à une XSS stockée via des données de srcsets insuffisamment assainies. La description indique que la signature HMAC permettant l’accès à l’endpoint REST est exposée aux visiteurs non authentifiés sur les pages concernées.
Action recommandée : Consulter l’avis de l’éditeur pour déterminer la version corrigée et appliquer le correctif disponible.
Komfortkasse for WooCommerce : création possible d’un compte administrateur
CVE-2026-122001 concerne Komfortkasse for WooCommerce : avant la version 1.4.9, le plugin ne validait pas correctement l’authenticité des requêtes REST et contournait ainsi la vérification nonce de WordPress. Une requête forgée dans le navigateur d’un administrateur connecté pouvait servir à créer un compte administrateur ; mettre à jour vers la version 1.4.9 ou ultérieure.
Action recommandée : Mettre à jour Komfortkasse for WooCommerce vers la version 1.4.9 ou ultérieure.
XSS stockée dans FV Flowplayer Video Player
FV Flowplayer Video Player avant 7.5.57.7212 ne neutralise pas certaines valeurs d’attribut de shortcode intégrées dans des commentaires. Si l’analyse des shortcodes dans les commentaires est activée, un visiteur non authentifié peut faire exécuter du script dans le navigateur de toute personne qui lit le commentaire en lançant la vidéo concernée.
Action recommandée : Mettre à jour FV Flowplayer Video Player vers la version 7.5.57.7212 ou ultérieure ; vérifier également le réglage de traitement des shortcodes dans les commentaires.
Magic Link : connexion possible à un compte administrateur
CVE-2026-121848 concerne Magic Link : avant la version 2.2.6, le plugin ne vérifiait pas que l’utilisateur demandant un lien de connexion était autorisé à en générer un pour le compte choisi. Un utilisateur authentifié pouvait obtenir un lien fonctionnel pour un compte administrateur et s’y connecter ; mettre à jour vers la version 2.2.6 ou ultérieure.
Action recommandée : Mettre à jour Magic Link vers la version 2.2.6 ou ultérieure.
iLeads SMS Gateway by Exsile : modification d’options et élévation de privilèges
CVE-2026-121866 concerne iLeads SMS Gateway by Exsile : avant la version 2.0.0, plusieurs actions AJAX ne vérifiaient ni les capacités ni les nonces avant de modifier une option WordPress désignée par la requête. Tout utilisateur authentifié pouvait changer des options et élever ses privilèges, par exemple en activant les inscriptions avec le rôle administrateur par défaut ; mettre à jour vers la version 2.0.0 ou ultérieure.
Action recommandée : Mettre à jour iLeads SMS Gateway by Exsile vers la version 2.0.0 ou ultérieure.
Active Woot Products Tables : suppression non autorisée de fichiers de la médiathèque
CVE-2026-120560 permet à des attaquants non authentifiés de supprimer des pièces jointes de la médiathèque WordPress et leurs fichiers associés. La faille concerne les versions jusqu’à 2.1.5 incluse ; aucun correctif n’est précisé dans les données fournies.
Action recommandée : Désactiver le plugin jusqu’à disponibilité d’un correctif et vérifier la médiathèque ainsi que les journaux d’activité.
QODE Wishlist for WooCommerce : XSS stockée dans les listes de souhaits
CVE-2026-121516 permet à des visiteurs non authentifiés de stocker un script dans QODE Wishlist for WooCommerce, via un paramètre lié aux articles des visiteurs. L’exploitation dépend d’une interaction de la victime avec une URL de partage et d’une action d’administrateur ; aucun correctif n’est précisé dans les données fournies.
Action recommandée : Mettre à jour dès qu’un correctif est disponible et examiner les pages de souhaits ainsi que les contenus partagés suspects.
Event Tickets with Ticket Scanner : accès indu aux données de billets
CVE-2026-121857 concerne Event Tickets with Ticket Scanner : avant la version 3.1.14, le plugin ne vérifiait pas que l’utilisateur pouvait gérer les commandes WooCommerce avant de consulter ou supprimer des données de billets. Un utilisateur disposant d’un accès à l’interface du plugin, y compris un abonné si ce droit lui était accordé, pouvait consulter les codes et noms de clients ou supprimer des billets ; mettre à jour vers la version 3.1.14 ou ultérieure.
Action recommandée : Mettre à jour Event Tickets with Ticket Scanner vers la version 3.1.14 ou ultérieure.
Lecture de fichiers par traversée de répertoire dans Vanquish Upload Files for WooCommerce
Vanquish Upload Files for WooCommerce jusqu’à la version 2.7.13 présente une traversée de répertoire permettant à un utilisateur authentifié à partir du rôle Subscriber de lire des fichiers arbitraires du serveur. Le défaut concerne le traitement du nom de fichier et le contrôle d’accès aux fichiers de commande.
Action recommandée : Mettre à jour vers une version corrigée lorsqu’elle est disponible.
Exposition de données de clients dans Paystack WooCommerce Payment Gateway
Paystack WooCommerce Payment Gateway jusqu’à la version 5.8.5 peut exposer des données personnelles de clients à des attaquants non authentifiés par le paramètre key. La faille concerne les sites où la fonctionnalité facultative de métadonnées personnalisées est activée; les informations peuvent être récupérées en parcourant des identifiants de commande.
Action recommandée : Mettre à jour vers une version corrigée lorsqu’elle est disponible; désactiver la fonctionnalité de métadonnées personnalisées si elle n’est pas nécessaire.
XSS stockée dans WP-Members via le paiement WooCommerce classique
WP-Members Membership Plugin présente une XSS stockée dans le parcours de paiement WooCommerce classique, via un champ multisélection, dans les versions jusqu’à 3.5.7 incluse. L’exploitation nécessite un compte avec le rôle abonné ou supérieur; la fiche indique une gravité moyenne (CVSS 6.4) et ne donne pas de version corrigée.
Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est disponible; limiter les comptes pouvant accéder au parcours de paiement concerné.
XSS stockée dans Active Woot Products Tables for WooCommerce
Active Woot Products Tables for WooCommerce présente une XSS stockée via le paramètre `help_title` dans les versions jusqu’à 2.1.5 incluse. Des attaquants authentifiés disposant au minimum du rôle contributeur peuvent injecter des scripts; NVD indique une gravité moyenne (CVSS 6.4) et ne précise pas de correctif.
Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est disponible et limiter les comptes disposant du rôle contributeur ou supérieur.
CVE-2026-115816 : XSS stockée dans Kubio AI Page Builder
Kubio AI Page Builder est affecté par une vulnérabilité XSS stockée via le paramètre de commentaire d’avis jusqu’à la version 2.9.4. Un script injecté peut s’exécuter sur les pages concernées si l’avis est approuvé et si le modèle de produit utilise un bloc de contenu rendu par Kubio ; mettre à jour le plugin dès qu’un correctif est disponible.
Action recommandée : Mettre à jour Kubio AI Page Builder dès qu’une version corrigée est disponible ; vérifier l’approbation des avis concernés et les modèles de produit utilisés.
XSS stockée dans le plugin WordPress Motors
Motors – Car Dealership & Classified Listings présente une XSS stockée via le paramètre `stm_f_s[make]`, exploitable par un utilisateur authentifié disposant au moins du rôle Subscriber. La faille concerne les versions jusqu’à 1.4.128 et requiert l’activation de Free Listing Submission ; aucun correctif n’est indiqué dans la source.
Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est disponible ; en attendant, désactiver Free Listing Submission si possible.
XSS DOM stockée dans le plugin WordPress JS Help Desk
JS Help Desk présente une XSS stockée de type DOM via le paramètre `jsticket_message`, exploitable par un utilisateur authentifié disposant au moins du rôle Subscriber. Le déclenchement survient lorsqu’un administrateur ou un agent ouvre le ticket affecté ; aucun correctif n’est indiqué dans la source.
Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est disponible.
XSS DOM stockée dans le plugin WordPress LearnPress – Course Review
LearnPress – Course Review présente une XSS stockée de type DOM via le titre d’un avis, exploitable par un utilisateur authentifié disposant au moins du rôle Subscriber. Le code ne s’exécute qu’après approbation de l’avis, sauf configuration d’auto-approbation ; aucun correctif n’est indiqué dans la source.
Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est disponible et modérer les avis avant publication.
XSS stockée dans le plugin WordPress Form Maker by 10Web
Form Maker by 10Web présente une XSS stockée via des paramètres de soumission de formulaire, exploitable sans authentification sous certaines conditions. La cible doit contenir un champ File Upload et l’exécution a lieu lorsqu’un administrateur consulte les soumissions ; aucun correctif n’est indiqué dans la source.
Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est disponible.
XSS stockée dans le plugin WordPress LifterLMS
LifterLMS présente une XSS stockée via le paramètre `answer[]`, exploitable par un étudiant authentifié inscrit à un cours concerné. Le script s’exécute dans le navigateur de l’administrateur pendant la correction d’une tentative ; aucun correctif n’est indiqué dans la source.
Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est disponible et examiner les tentatives de quiz concernées.
XSS stockée dans le plugin WordPress LatePoint
LatePoint présente une XSS stockée via l’adresse e-mail du client, exploitable sans compte WordPress au moyen du formulaire public de réservation. Les versions concernées vont jusqu’à 5.7.6 ; aucun correctif n’est indiqué dans la source.
Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est disponible.
XSS stockée dans le plugin WordPress WPBakery Page Builder
WPBakery Page Builder présente une XSS stockée via les champs `display_name` ou `nickname`, exploitable par un utilisateur authentifié disposant au moins du rôle Subscriber sous certaines conditions d’affichage. Un article public attribué à l’attaquant doit être rendu par une grille configurée pour lier l’auteur ; aucun correctif n’est indiqué dans la source.
Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est disponible et vérifier les grilles qui affichent les auteurs.
XSS DOM stockée dans le plugin WordPress Greenshift
Greenshift présente une XSS stockée de type DOM via l’URL de l’auteur d’un commentaire, exploitable sans authentification. L’exécution nécessite une configuration particulière de l’Interaction Layer et se produit lorsque le bloc Counter affecté entre dans la zone visible ; aucun correctif n’est indiqué dans la source.
Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est disponible et vérifier les configurations Interaction Layer concernées.
XSS stockée dans Jupiter X Core pour WordPress
Le plugin Jupiter X Core pour WordPress présente une XSS stockée via le paramètre `fields[]`, liée à une validation et un échappement insuffisants. La faille concerne les versions jusqu’à 4.62.0 incluse et peut être déclenchée dans certaines pages utilisant le widget Raven Author Box.
Action recommandée : Mettre à jour le plugin vers une version corrigée dès qu’elle est disponible; aucune version corrigée n’est indiquée dans les informations fournies.
Inclusion de fichier local dans Noptin
Une inclusion de fichier local dans Noptin permet à un visiteur non authentifié de faire enregistrer une valeur malveillante comme prénom, puis de provoquer son inclusion lors de l’envoi d’une newsletter. L’exploitation nécessite toutefois qu’un administrateur effectue cet envoi ; les versions concernées vont jusqu’à 4.4.3 incluse.
Action recommandée : Mettre à jour vers une version corrigée lorsqu’elle est disponible ; contrôler les inscriptions et préférences enregistrées et limiter les envois de newsletter jusqu’à correction.
Exposition de cookies de session via Greenshift
Une faille de divulgation d’informations dans Greenshift peut exposer les cookies de session WordPress d’utilisateurs authentifiés lorsque le site comporte un bloc image public configuré avec un espace réservé `{{GET:}}`. L’exploitation exige aussi qu’un utilisateur connecté ouvre un lien spécialement préparé ; les versions concernées vont jusqu’à 13.2.2 incluse.
Action recommandée : Mettre à jour vers une version corrigée lorsqu’elle est disponible ; rechercher les blocs image publics utilisant `{{GET:}}` et les retirer ou les désactiver.
Lecture de fichiers par traversée de répertoires dans Jupiter X Core
Une faille de traversée de répertoires dans Jupiter X Core permet à un attaquant non authentifié de lire des fichiers situés dans le répertoire `wp-content/uploads/`. La vérification de confinement empêche, selon la fiche, l’accès à `wp-config.php` et aux fichiers hors de ce répertoire ; les versions concernées vont jusqu’à 4.62.0 incluse.
Action recommandée : Mettre à jour vers une version corrigée lorsqu’elle est disponible ; vérifier que le répertoire d’envoi ne contient pas de fichiers sensibles accessibles.
Jupiter X Core : contournement d’autorisation et exposition de contenus
CVE-2026-120737 permet à des attaquants non authentifiés d’énumérer et d’afficher certains types de contenus publiés, notamment des dossiers de soumission Flamingo, ainsi que d’interroger des métadonnées. L’exploitation dépend de la configuration d’un widget Posts ou Advanced Posts avec « Is Archive Template » activé ; aucun correctif ni contournement n’est indiqué dans les données fournies.
Action recommandée : Vérifier l’usage de Jupiter X Core et la configuration des widgets concernés ; appliquer un correctif éditeur lorsqu’il sera disponible.
XSS stockée dans MotoPress Appointment Booking Lite pour WordPress
Le plugin MotoPress Appointment Booking Lite pour WordPress présente une XSS stockée via le point d’accès REST public de création de clients. La vulnérabilité concerne les versions jusqu’à 2.4.8 incluse et résulte de l’absence de nettoyage de la valeur `name` ainsi que de son échappement insuffisant dans une liste d’administration.
Action recommandée : Mettre à jour le plugin vers une version corrigée dès qu’elle est disponible; aucune version corrigée n’est indiquée dans les informations fournies.
XSS stockée dans FV Flowplayer Video Player pour WordPress
Le plugin FV Flowplayer Video Player pour WordPress présente une XSS stockée via le paramètre `comment`. La vulnérabilité concerne les versions jusqu’à 7.5.56.7212 incluse; son déclenchement décrit dépend de l’activation de l’option de traitement des liens Vimeo et YouTube et de l’approbation du commentaire.
Action recommandée : Mettre à jour le plugin vers une version corrigée dès qu’elle est disponible; aucune version corrigée n’est indiquée dans les informations fournies.
XSS stockée dans Social Slider Feed pour WordPress
Le plugin Social Slider Feed pour WordPress présente une XSS stockée via le paramètre `slidespeed`. La vulnérabilité concerne les versions jusqu’à 2.3.8 incluse et permet à des utilisateurs authentifiés disposant au minimum d’un compte Subscriber de modifier des réglages de flux.
Action recommandée : Mettre à jour le plugin vers une version corrigée dès qu’elle est disponible; aucune version corrigée n’est indiquée dans les informations fournies.
XSS stockée dans Redux Framework
Redux Framework présente une vulnérabilité de XSS stockée dans le paramètre « content ». Un attaquant authentifié disposant au minimum du rôle d’abonné peut injecter du script, sous certaines conditions liées au thème.
Action recommandée : Mettre à jour Redux Framework dès qu’une version corrigée est disponible et limiter les comptes de confiance disposant d’un accès au site.
Contournement d’autorisation dans Redux Framework
Redux Framework ne vérifie pas correctement les autorisations lors de l’export de la configuration du panneau Redux. Un utilisateur authentifié disposant au minimum du rôle d’abonné peut ainsi accéder à des informations de configuration sensibles, si un champ import_export est enregistré sur son profil.
Action recommandée : Mettre à jour Redux Framework dès qu’une version corrigée est disponible et éviter d’exposer des champs d’export aux profils non administrateurs.
XSS stockée dans le plugin WordPress Stop Spammers Classic
Le plugin WordPress Stop Spammers Classic présente une XSS stockée déclenchée lorsque certains administrateurs consultent une ligne de journal empoisonnée et cliquent sur « Report to SFS ». L’exploitation nécessite aussi que la clé API StopForumSpam soit configurée, condition non satisfaite par défaut.
Action recommandée : Consulter l’avis de l’éditeur pour déterminer la version corrigée et appliquer le correctif disponible.
Accès non autorisé à des données dans Tutor LMS
Tutor LMS présente une référence directe à un objet non sécurisée dans les routes API, permettant à certains utilisateurs authentifiés d’accéder à des contenus ou données qui ne leur sont pas destinés. L’exploitation exige une paire valide de clé et secret API Tutor LMS, accessible à des utilisateurs ayant au moins le rôle d’abonné.
Action recommandée : Mettre à jour Tutor LMS dès qu’une version corrigée est disponible et limiter la création et l’usage de clés API.
XSS stockée dans le thème Soledad
Le thème Soledad présente une XSS stockée dans les champs de profils sociaux. Un utilisateur authentifié ayant au minimum le rôle d’abonné peut injecter un script qui est ensuite exposé sur sa page d’auteur publique.
Action recommandée : Mettre à jour Soledad dès qu’une version corrigée est disponible et contrôler les champs de profil social des comptes concernés.
XSS stockée dans Stackable
Stackable – Page Builder Gutenberg Blocks présente une XSS stockée dans le point de terminaison update_block_style. Un utilisateur authentifié disposant au minimum du rôle de contributeur peut injecter du script dans des pages consultées par d’autres utilisateurs.
Action recommandée : Mettre à jour Stackable dès qu’une version corrigée est disponible et limiter les droits de modification de contenu.
CSRF dans WP Google Review Slider
WP Google Review Slider avant 18.11 ne vérifie pas le nonce lors de la modification de la configuration active de Google Places. Un attaquant peut provoquer une requête forgée si un administrateur suit un lien malveillant, et ainsi altérer ou supprimer cette configuration.
Action recommandée : Mettre à jour WP Google Review Slider vers la version 18.11 ou ultérieure.
Directorist : divulgation des détails de fiches privées
La faille permet à un utilisateur authentifié disposant au moins du rôle Subscriber de consulter les détails de fiches privées ou en brouillon appartenant à d’autres utilisateurs, y compris leurs coordonnées. Directorist est concerné avant la version 8.11 ; mettez le plugin à jour vers la version 8.11 ou ultérieure.
Action recommandée : Mettre à jour Directorist vers la version 8.11 ou ultérieure.
Directorist : verrouillage de comptes sur un réseau multisite
Sur une installation multisite, un administrateur d’un site peut verrouiller des utilisateurs d’autres sites du réseau, y compris le Super Administrator, en déclenchant la vérification de leur adresse électronique. Directorist est concerné avant la version 8.11 ; mettez le plugin à jour vers la version 8.11 ou ultérieure.
Action recommandée : Mettre à jour Directorist vers la version 8.11 ou ultérieure.
Directorist : suppression non autorisée de médias
Un utilisateur authentifié disposant au moins du rôle Subscriber peut supprimer des pièces jointes arbitraires de la médiathèque et leurs fichiers, y compris des médias déposés par des administrateurs. Directorist est concerné avant la version 8.11 ; mettez le plugin à jour vers la version 8.11 ou ultérieure.
Action recommandée : Mettre à jour Directorist vers la version 8.11 ou ultérieure.
Directorist : divulgation d’informations de commande et de paiement
Un utilisateur authentifié peut consulter les informations de commande et de paiement d’autres utilisateurs, notamment le montant, le moyen de paiement, le statut et l’identifiant de transaction. Directorist est concerné avant la version 8.11 ; mettez le plugin à jour vers la version 8.11 ou ultérieure.
Action recommandée : Mettre à jour Directorist vers la version 8.11 ou ultérieure.
Directorist : tentatives de paiement sur les commandes d’autrui
Un utilisateur authentifié peut créer des tentatives de paiement sur les commandes d’autres utilisateurs. Directorist est concerné avant la version 8.11 ; mettez le plugin à jour vers la version 8.11 ou ultérieure.
Action recommandée : Mettre à jour Directorist vers la version 8.11 ou ultérieure.
Live Composer : script intersite stocké via un shortcode
Un utilisateur disposant au moins du rôle Contributor peut exploiter une faille de script intersite stocké au moyen d’un paramètre de pagination fourni par un shortcode de module de liste d’articles. Live Composer est concerné avant la version 2.1.23 ; mettez le plugin à jour vers la version 2.1.23 ou ultérieure.
Action recommandée : Mettre à jour Live Composer vers la version 2.1.23 ou ultérieure.
Tournamatch : divulgation d’adresses électroniques d’invités
Des utilisateurs non authentifiés peuvent récupérer les adresses électroniques de personnes invitées à rejoindre des équipes. Tournamatch est concerné avant la version 4.7.1 ; mettez le plugin à jour vers la version 4.7.1 ou ultérieure.
Action recommandée : Mettre à jour Tournamatch vers la version 4.7.1 ou ultérieure.
Fiber Admin : modification non autorisée de l’ordre des contenus
CVE-2026-121492 concerne Fiber Admin : avant la version 4.0.1, certaines actions AJAX ne vérifiaient pas les autorisations et permettaient à des utilisateurs non authentifiés de modifier l’ordre de publications, y compris privées ou brouillons, d’éléments de menu et, si l’option était activée, de termes de taxonomie. Mettre à jour vers la version 4.0.1 ou ultérieure.
Action recommandée : Mettre à jour Fiber Admin vers la version 4.0.1 ou ultérieure.
Téléversement de SVG contenant du JavaScript dans Add From Server Lite
Le plugin WordPress Add From Server Lite autorise des utilisateurs ayant le rôle Author ou supérieur à téléverser des SVG contenant du JavaScript. Ces fichiers peuvent ensuite servir à des attaques XSS stockées.
Action recommandée : Mettre à niveau vers la version 6.0.0 ou ultérieure.
Event Tickets with Ticket Scanner : injection SQL dans des listes d’administration
CVE-2026-121858 concerne Event Tickets with Ticket Scanner : avant la version 3.2.9, une valeur de recherche n’était pas correctement échappée avant son utilisation dans des requêtes SQL de plusieurs listes d’administration. Un utilisateur autorisé à accéder à l’interface d’administration du plugin pouvait effectuer une injection SQL ; mettre à jour vers la version 3.2.9 ou ultérieure.
Action recommandée : Mettre à jour Event Tickets with Ticket Scanner vers la version 3.2.9 ou ultérieure.
QSM : exécution de shortcodes arbitraires sans authentification
Quiz and Survey Master (QSM) permettait l’exécution de shortcodes arbitraires par un attaquant non authentifié, en raison d’une valeur insuffisamment validée avant son traitement. Toutes les versions jusqu’à 11.2.7 inclus sont concernées ; la source fournie ne précise pas de version corrigée.
Action recommandée : Vérifier la disponibilité d’une version corrigée auprès de l’éditeur et appliquer la mise à jour dès qu’elle est disponible.
Ultimate Member : XSS stockée dans une note de profil
Ultimate Member présentait une XSS stockée via « pm_note » ou un champ textarea personnalisé dont le HTML est désactivé ; un utilisateur authentifié de niveau abonné ou supérieur pouvait injecter un script. Toutes les versions jusqu’à 2.14.1 inclus sont concernées, et la source ne précise pas de version corrigée.
Action recommandée : Vérifier auprès de l’éditeur la disponibilité d’un correctif et mettre le plugin à jour dès qu’il est proposé.
WP Data Access : XSS stockée dans le libellé d’autocomplétion
WP Data Access était vulnérable à une XSS stockée dans le libellé d’autocomplétion d’un formulaire simple, lorsque l’attaquant authentifié pouvait modifier une ligne de recherche via un formulaire ancien. Les versions jusqu’à 5.5.89 inclus sont concernées ; la source ne fournit pas de version corrigée.
Action recommandée : Vérifier auprès de l’éditeur la disponibilité d’un correctif et mettre le plugin à jour dès qu’il est proposé.
WP Data Access : XSS stockée via une colonne rendue comme URL d’image
WP Data Access permettait une XSS stockée par le biais d’une valeur de colonne de type URL d’image, notamment une valeur issue de wp_usermeta.description. Les versions jusqu’à 5.5.89 inclus sont concernées ; l’exploitation décrite nécessite une configuration particulière de shortcode DataTables, et aucune version corrigée n’est précisée.
Action recommandée : Éviter de publier des shortcodes DataTables configurés sur des colonnes contrôlables par des utilisateurs non fiables et appliquer un correctif dès sa disponibilité.
aBlocks : XSS stockée via le paramètre headingTag
aBlocks était vulnérable à une XSS stockée via le paramètre « headingTag », pour toutes les versions jusqu’à 2.18.0 inclus. Des utilisateurs authentifiés ayant le rôle contributeur ou supérieur pouvaient injecter un script ; la source ne précise pas de version corrigée.
Action recommandée : Vérifier auprès de l’éditeur la disponibilité d’un correctif et mettre le plugin à jour dès qu’il est proposé.
aBlocks : exposition du contenu de publications protégées par mot de passe
aBlocks exposait le contenu complet rendu de publications protégées par mot de passe via un shortcode utilisant l’identifiant de la publication. Les versions jusqu’à 2.18.0 inclus sont concernées ; la source indique qu’un utilisateur authentifié de niveau contributeur ou supérieur peut extraire ce contenu, et qu’un utilisateur de niveau auteur ou supérieur peut aussi le rendre accessible aux visiteurs non authentifiés.
Action recommandée : Vérifier auprès de l’éditeur la disponibilité d’un correctif et mettre le plugin à jour dès qu’il est proposé.
XSS stocké dans WP Data Access
Le plugin WP Data Access jusqu’à la version 5.5.90 permet à des utilisateurs authentifiés ayant au moins le rôle Subscriber d’injecter du JavaScript stocké via les formulaires Data Projects. Le code injecté s’exécute lorsqu’un utilisateur consulte la page concernée.
Action recommandée : Mettre à jour vers une version corrigée lorsqu’elle est disponible; limiter l’accès aux formulaires Data Projects aux utilisateurs de confiance.
SEOPress : XSS stockée via les paramètres de suivi Google Analytics
SEOPress contient une faille XSS stockée liée aux paramètres de suivi Google Analytics, qui permet à un utilisateur authentifié disposant des droits requis d’injecter du script exécuté lors de l’affichage d’une page concernée. Les versions affectées vont jusqu’à 10.3 inclus ; aucun correctif ni contournement n’est précisé dans la source fournie.
Action recommandée : Mettre à jour SEOPress vers une version corrigée dès qu’elle est disponible et limiter la capacité analytics aux comptes de confiance.
Injection SQL dans WP Backup and Migration
WebToffee WP Backup and Migration jusqu’à la version 1.6.1 comporte une injection SQL via le paramètre description, exploitable par un utilisateur authentifié à partir du rôle Subscriber. L’exploitation dépend toutefois d’une action ultérieure d’un administrateur qui effectue l’opération habituelle d’export puis de restauration de base de données sur le site.
Action recommandée : Mettre à jour vers une version corrigée lorsqu’elle est disponible et examiner les opérations d’export/restauration effectuées par les administrateurs.
Injection SQL dans WP Data Access
WP Data Access jusqu’à la version 5.5.90 présente une injection SQL via le paramètre engine, accessible à des utilisateurs authentifiés à partir du rôle Subscriber. L’exploitation suppose qu’un administrateur ait configuré une page Data Project afin d’autoriser l’accès à un rôle de moindre privilège.
Action recommandée : Mettre à jour vers une version corrigée lorsqu’elle est disponible et vérifier les permissions des pages Data Project.
Injection SQL dans GamiPress
GamiPress jusqu’à la version 8.1.1 comporte une injection SQL liée aux champs d’une soumission Gravity Forms, accessible à des utilisateurs authentifiés à partir du rôle Subscriber. L’exploitation requiert un succès GamiPress configuré pour un événement de soumission de valeur de champ Gravity Forms et le formulaire correspondant publié.
Action recommandée : Mettre à jour vers une version corrigée lorsqu’elle est disponible et vérifier les intégrations GamiPress–Gravity Forms configurées.
Amelia : export non autorisé des réservations
La fiche NVD publiée le 2026-11-07 signale un contournement d’autorisation dans Amelia jusqu’à la version 9.9.1 incluse. Des utilisateurs authentifiés disposant d’un accès de niveau personnalisé ou supérieur peuvent exporter les réservations de n’importe quel événement, y compris des données personnelles; mettez à jour dès qu’un correctif est disponible et limitez les accès concernés.
Action recommandée : Mettre à jour vers une version corrigée dès sa disponibilité et restreindre les comptes ayant des droits d’accès personnalisés.
wpForo Forum : suppression arbitraire de fichiers
La fiche NVD publiée le 2026-11-07 signale une suppression arbitraire de fichiers dans wpForo Forum jusqu’à la version 3.2.2 incluse. Un attaquant authentifié peut exploiter cette faiblesse dans une configuration particulière de groupes secondaires, avec un risque d’exécution de code selon le fichier supprimé; mettez à jour dès qu’un correctif est disponible et contrôlez les groupes et capacités personnalisés.
Action recommandée : Mettre à jour vers une version corrigée dès sa disponibilité; vérifier les groupes secondaires personnalisés et leurs capacités.
WPSpeed : XSS stockée via l’optimisation LightImages
Le plugin WPSpeed pour WordPress présente une XSS stockée exploitable par un utilisateur authentifié disposant du rôle Abonné ou supérieur, via le traitement de pages d’archives d’auteur et de contenu HTML encodé. Les versions jusqu’à 2.6.10 incluses sont concernées ; aucune version corrigée ni mesure de contournement n’est indiquée dans la source.
Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est disponible ; dans l’intervalle, désactiver le plugin ou sa fonction LightImages si possible.
Zephyr Project Manager : XSS stockée dans le profil utilisateur
Zephyr Project Manager pour WordPress comporte une XSS stockée dans le paramètre « zpm_profile_picture », exploitable par un utilisateur authentifié ayant le rôle Abonné ou supérieur. Toutes les versions jusqu’à 3.3.209 incluses sont concernées ; la source ne précise pas de version corrigée.
Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est disponible ; à défaut, désactiver le plugin ou limiter l’accès à ses fonctions de profil.
wpForo Forum : XSS stockée dans le contenu des publications
Le plugin wpForo Forum pour WordPress présente une XSS stockée via le paramètre « post[body] », en raison d’une validation insuffisante des entrées et d’un échappement inadéquat. Les versions jusqu’à 3.2.2 incluses sont concernées ; la source ne donne pas de version corrigée.
Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est disponible ; si nécessaire, désactiver le plugin en attendant.
WordPress — exposition d’une clé API dans YML for Yandex Market
Le module YML for Yandex Market expose, jusqu’à la version 5.10.0 incluse, la clé API Yandex Market en clair dans un journal accessible publiquement, sous certaines conditions de configuration. Désactivez la conservation des journaux concernés et mettez à jour le module dès qu’un correctif est disponible; vérifiez et renouvelez la clé si elle a pu être exposée.
Action recommandée : Désactiver la conservation des journaux concernés et mettre à jour le module dès qu’un correctif est disponible; renouveler la clé API si elle a pu être exposée.
Premium Blocks : autorisation manquante
Premium Blocks – Gutenberg Blocks for WordPress présente une vulnérabilité de contrôle d’accès manquant, affectant les versions indiquées comme « n/a » jusqu’à 2.3.18. La description fournie ne précise ni les opérations accessibles sans autorisation ni la version corrigée.
Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est disponible ; vérifier les contrôles d’accès aux fonctions du plugin.
WordPress — exécution de shortcodes dans Dynific Addons for Elementor
Dynific Addons for Elementor, anciennement Anywhere Elementor, permet l’exécution arbitraire de shortcodes jusqu’à la version 1.3.0 incluse. L’exploitation dépend de la présence d’une page publique utilisant un modèle AE avec le widget AE Post Comments et d’un commentaire visible; mettez à jour le module dès qu’un correctif est disponible.
Action recommandée : Mettre à jour Dynific Addons for Elementor dès qu’un correctif est disponible; examiner les modèles AE publics utilisant le widget AE Post Comments.
WordPress — injection SQL dans Dynific Addons for Elementor
Dynific Addons for Elementor présente une injection SQL dans le paramètre q jusqu’à la version 1.3 incluse. Un utilisateur authentifié disposant au minimum du rôle Subscriber peut exploiter la requête insuffisamment préparée pour extraire des données; mettez à jour le module dès qu’un correctif est disponible.
Action recommandée : Mettre à jour Dynific Addons for Elementor dès qu’un correctif est disponible.
weDocs : XSS stockée dans l’attribut modalPlaceholder
weDocs pour WordPress présente une XSS stockée via l’attribut de bloc « modalPlaceholder », dans les versions jusqu’à 2.6.1 incluse. Un contributeur peut enregistrer une publication en attente contenant la charge ; le script s’exécute si un administrateur ou un éditeur consulte ou prévisualise cette publication.
Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est disponible ; dans l’intervalle, désactiver le plugin ou empêcher la prévisualisation de publications non fiables.
XSS stockée dans Falang multilanguage
CVE-2026-118047 est une XSS stockée dans Falang multilanguage, versions jusqu’à 1.4.6 incluses; un compte abonné ou supérieur peut l’exploiter. La fiche indique aussi qu’un nonce nécessaire est accessible à tout utilisateur connecté via un gestionnaire AJAX insuffisamment protégé; aucun correctif n’est fourni dans les données.
Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est disponible et limiter les comptes connectés aux utilisateurs de confiance.
XSS stockée dans Football Pool
CVE-2026-118050 est une XSS stockée dans Football Pool, versions jusqu’à 2.13.5 incluses, exploitable par un utilisateur authentifié ayant au moins le rôle d’abonné. D’après les données fournies, l’exécution se produit dans la vue d’édition administrative d’un shout, et non dans le widget public ou la liste d’administration.
Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est disponible; limiter les comptes ayant accès aux fonctions d’édition des shouts.
XSS stockée dans Image Hover Effects Ultimate
CVE-2026-118056 est une XSS stockée dans Image Hover Effects Ultimate, versions jusqu’à 9.12.2 incluses. Elle requiert que le réglage « Who can edit » soit configuré sur Subscriber, ce qui permet à un utilisateur connecté d’altérer des styles existants; aucun correctif n’est indiqué.
Action recommandée : Restreindre le réglage « Who can edit » à des rôles de confiance et appliquer une mise à jour corrigée dès qu’elle est disponible.
XSS stockée dans Real Testimonials (CVE-2026-120509)
Le plugin Real Testimonials jusqu’à la version 4.1.0 incluse présente une XSS stockée via le paramètre `tpro_client_name`, exploitable sans authentification si un administrateur publie le témoignage, déclenche l’aperçu AJAX puis enregistre une mise à jour. L’attaquant peut alors faire persister un script dans le titre Manage View ; aucune version corrigée ni mesure de contournement n’est indiquée dans la source.
Action recommandée : Mettre à jour vers une version corrigée lorsqu’elle sera disponible ; dans l’intervalle, modérer les témoignages soumis et éviter les actions de prévisualisation/sauvegarde décrites.
XSS stockée dans Real Testimonials (CVE-2026-120683)
Le plugin Real Testimonials jusqu’à la version 4.1.0 incluse présente une XSS stockée via le paramètre `tpro_client_testimonial`, après approbation du témoignage par un administrateur. La page cible doit également charger le runtime WordPress Interactivity ; la source ne précise ni version corrigée ni contournement.
Action recommandée : Mettre à jour vers une version corrigée dès disponibilité et vérifier les témoignages en attente ainsi que les pages chargeant le runtime Interactivity.
XSS stockée dans Real Testimonials (CVE-2026-120685)
Le plugin Real Testimonials jusqu’à la version 4.1.0 incluse présente une XSS stockée impliquant le paramètre d’image JPEG IPTC caption et le shortcode `[gallery]` du témoignage. L’exploitation requiert l’approbation du témoignage et que l’option Strip All HTML Tags soit désactivée ; aucune version corrigée ni solution de contournement n’est fournie.
Action recommandée : Mettre à jour dès disponibilité d’un correctif ; à défaut, conserver l’option Strip All HTML Tags activée et modérer les témoignages.
Modula : XSS stockée via les liens des éléments de galerie
Le plugin Modula pour WordPress présente une XSS stockée exploitable par un utilisateur authentifié ayant au moins le rôle Auteur. Une valeur de lien contrôlée peut contenir un schéma javascript: et déclencher un script lorsqu’un visiteur clique sur la tuile de galerie ; les versions jusqu’à 3.0.17 inclus sont concernées.
Action recommandée : Mettre à jour Modula vers une version corrigée dès qu’elle est disponible et limiter les droits d’écriture aux utilisateurs de confiance.
XSS stockée dans JetFormBuilder (CVE-2026-121977)
JetFormBuilder jusqu’à la version 3.6.8 incluse présente une XSS stockée liée au champ `note` d’un formulaire. L’exploitation est possible sans authentification, mais nécessite qu’un utilisateur privilégié disposant de `edit_others_posts` ouvre une URL de formulaire contenant l’identifiant de publication préparé par l’attaquant ; aucun correctif n’est indiqué.
Action recommandée : Mettre à jour dès qu’une version corrigée est disponible et avertir les utilisateurs privilégiés de ne pas ouvrir les URL de formulaire suspectes.
XSS DOM stockée dans WP ImageViewer (CVE-2026-122059)
WP ImageViewer jusqu’à la version 3.0.2 incluse présente une XSS DOM stockée via le paramètre `img.alt`. L’exploitation requiert un compte authentifié et, selon le scénario, un plugin de contenu frontal tel que bbPress ou des droits permettant de publier le contenu concerné ; la source ne précise pas de correctif.
Action recommandée : Mettre à jour dès qu’un correctif est disponible et limiter les capacités de publication de contenu contenant des images aux utilisateurs de confiance.
XSS stockée dans Image Hover Effects Ultimate Visual Composer
Image Hover Effects Ultimate Visual Composer est vulnérable à une XSS stockée via le champ d’attribut alternatif d’image dans les versions jusqu’à 3.1.1 incluse. L’exploitation dépend de capacités attribuées par l’administrateur ou d’une installation multisite; NVD indique une gravité moyenne (CVSS 6.4) sans version corrigée précisée.
Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est disponible et vérifier les capacités attribuées aux utilisateurs ainsi que les contenus utilisant le bloc ou shortcode concerné.
Contrôle d’accès insuffisant dans Premium Blocks
Premium Blocks – Gutenberg Blocks for WordPress présente une vulnérabilité de contrôle d’accès insuffisant dans les versions jusqu’à 2.3.18 incluse. La fiche NVD la classe de gravité moyenne (CVSS 5.3), sans fournir ici de détail sur l’action vulnérable ni de version corrigée.
Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est disponible; examiner les permissions et contrôles d’accès du plugin.
Autorisation manquante dans Meta Box
Meta Box – WordPress Custom Fields Framework présente une vulnérabilité d’autorisation manquante dans les versions jusqu’à 5.15.3 incluse. NVD indique une gravité moyenne (CVSS 6.5), mais les informations fournies ne détaillent pas l’action concernée ni le correctif.
Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est disponible et vérifier les contrôles d’autorisation du plugin.
XSS stockée dans Meta Box
Meta Box – WordPress Custom Fields Framework présente une XSS stockée dans les versions jusqu’à 5.15.3 incluse. La fiche NVD indique une gravité moyenne (CVSS 6.5), sans précision fournie sur le vecteur d’entrée, les prérequis ou la version corrigée.
Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est disponible; vérifier les contenus stockés rendus par le plugin.
Modification non authentifiée de champs de profil via Fluent Support
Une faille de Fluent Support permet à un visiteur non authentifié de modifier certains champs du profil d’un client WordPress existant en envoyant une soumission de formulaire public reliée à une intégration Fluent Support. L’exposition dépend de la configuration de cette intégration ; les versions concernées vont jusqu’à 2.4.7 incluse.
Action recommandée : Mettre à jour vers une version corrigée lorsqu’elle est disponible ; vérifier les flux Fluent Support associés aux formulaires publics et limiter les champs qu’ils peuvent modifier.
XSS stockée dans Live Composer
Live Composer ne neutralise pas correctement certains paramètres de slug de types de contenu personnalisés avant leur insertion dans des liens de l’interface publique, ce qui permet une XSS stockée. Le problème concerne les versions antérieures à 2.1.23 et peut être exploité par des utilisateurs privilégiés même lorsque unfiltered_html est désactivé.
Action recommandée : Mettre Live Composer à jour vers la version 2.1.23 ou ultérieure.
Directorist : publication possible de fiches d’un autre utilisateur
Un utilisateur authentifié peut publier et mettre en avant une fiche en attente appartenant à quelqu’un d’autre si les frais de mise en avant sont configurés à zéro. Directorist est concerné avant la version 8.11 ; mettez le plugin à jour vers la version 8.11 ou ultérieure.
Action recommandée : Mettre à jour Directorist vers la version 8.11 ou ultérieure.
Advanced Custom Fields : divulgation d’informations sur des publications non publiques
CVE-2026-97189 concerne Advanced Custom Fields (ACF) : avant la version 6.8.11, le rendu des champs relationnels ne vérifiait pas les permissions de lecture des contenus associés. Des utilisateurs ayant des droits de modification de publications, à partir du rôle Contributeur, pouvaient divulguer les titres et statuts non publics de publications non publiées ; mettre à jour vers la version 6.8.11 ou ultérieure.
Action recommandée : Mettre à jour Advanced Custom Fields vers la version 6.8.11 ou ultérieure.
ACF : contrôle insuffisant des droits lors de la synchronisation des relations
La synchronisation bidirectionnelle des relations dans Advanced Custom Fields (ACF) pouvait permettre à un utilisateur ayant le rôle contributeur ou supérieur d’ajouter ou retirer une référence sur des contenus, utilisateurs ou termes qu’il ne pouvait pas modifier. Le défaut concerne les versions antérieures à 6.8.11 ; mettre ACF à jour vers cette version ou une version ultérieure.
Action recommandée : Mettre ACF à jour vers la version 6.8.11 ou ultérieure.
ACF : contournement des règles d’emplacement des champs personnalisés
Dans Advanced Custom Fields (ACF), des utilisateurs ayant le rôle contributeur ou supérieur pouvaient enregistrer sur leurs propres articles des champs personnalisés réservés par le site aux administrateurs. Le problème touche les versions antérieures à 6.8.11 ; mettre ACF à jour vers cette version ou une version ultérieure.
Action recommandée : Mettre ACF à jour vers la version 6.8.11 ou ultérieure.
PrestaShop
Recherche du sujet effectuée
Aucun nouvel avis, correctif, événement d’exploitation ou changement substantiel PrestaShop daté dans la période figée n’a été vérifié. Les résultats pertinents consultés étaient antérieurs au 7 novembre 2026; cela ne signifie pas qu’aucun événement n’a eu lieu.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Cockpit
Vérification incomplète
La recherche a retrouvé CVE-2024-6126, publiée en 2024, et une trace de mise à jour de son enregistrement le 2026-11-07. Les éléments consultés ne permettent pas d’établir si cette mise à jour constitue un changement substantiel de sécurité dans la période demandée ; aucun item n’est donc retenu sans preuve suffisante.
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
CloudPanel
Recherche du sujet effectuée
La recherche web dédiée à CloudPanel n’a identifié aucun nouvel avis, correctif de sécurité, cas d’exploitation ni changement substantiel daté de la période demandée (du 2026-11-07T00:00:00+02:00 inclus au 2026-11-08T00:00:00+02:00 exclu). Les résultats CloudPanel pertinents consultés portent sur des événements antérieurs à cette période et n’ont donc pas été retenus.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Uptime Kuma
Recherche du sujet effectuée
La recherche dédiée n’a identifié aucun nouvel avis, correctif, signalement d’exploitation confirmé ni changement substantiel concernant Uptime Kuma daté de la période demandée. Les avis de sécurité consultés étaient antérieurs au 7 novembre 2026 ; le ticket GitHub ouvert le 7 novembre signale une soumission de sécurité, sans information publique suffisante pour établir une vulnérabilité ou un changement substantiel.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
MariaDB
Recherche du sujet effectuée
La recherche dédiée n’a identifié aucun avis ou événement de sécurité MariaDB vérifiable comme nouveau ou substantiellement modifié pendant la période demandée. Le candidat fourni concerne une fiche CVE publiée en 2023 ; la seule date dans la période est une mise à jour administrative NVD, qui ne suffit pas à établir un changement substantiel.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
phpMyAdmin
Recherche du sujet effectuée
La recherche a confirmé que CVE-2026-121261 concerne phpMyAdmin ShapeFile et avait été publiée le 2026-11-03. Les informations consultées situent une mise à jour de l’avis Red Hat au 2026-11-06, hors de la période demandée; aucun changement substantiel daté du 2026-11-07 (+02:00) n’a été vérifié. La seule date du 2026-11-07 fournie pour cette fiche est une modification NVD, qui ne suffit pas à établir un événement admissible.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
pgAdmin
Recherche du sujet effectuée
La recherche dédiée aux sources pgAdmin consultées n’a pas identifié d’avis ou de correctif de sécurité pgAdmin daté de la période du 2026-11-07T00:00:00+02:00 au 2026-11-08T00:00:00+02:00. Les avis visibles dans la page de sécurité pgAdmin étaient datés d’autres jours et sont donc exclus.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Virtualmin
Recherche du sujet effectuée
La recherche dédiée aux avis et changelog officiels de Virtualmin, ainsi qu’aux résultats CVE/GitHub disponibles, n’a pas fait apparaître de nouveauté de sécurité Virtualmin datée de la période demandée (du 2026-11-07T00:00:00+02:00 inclus au 2026-11-08T00:00:00+02:00 exclu). Les résultats pertinents trouvés étaient antérieurs à cette période; aucun candidat n’a été fourni.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Webmin
Recherche du sujet effectuée
La recherche dédiée sur Webmin n’a pas identifié de nouvel avis, correctif, cas d’exploitation ni changement substantiel daté du 2026-11-07 dans la période demandée. Un résultat concernant CVE-2026-124552 indique une publication le 2026-11-08, après la borne de fin, et a donc été exclu.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Vue.js
Recherche du sujet effectuée
La recherche dédiée sur Vue.js n’a pas fait ressortir de vulnérabilité, d’avis/correctif de sécurité, d’exploitation ni de changement substantiel daté du 2026-11-07 dans la période demandée. L’avis de sécurité Vue.js repéré est daté du 2026-08-31, donc antérieur à cette période; les problèmes GitHub visibles datés du 2026-11-07 ne sont pas présentés comme des avis de sécurité.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Vite
Recherche du sujet effectuée
La recherche dédiée sur Vite n’a pas mis en évidence de nouvel avis, correctif, événement d’exploitation ni changement substantiel daté du 2026-11-07T00:00:00+02:00 inclus au 2026-11-08T00:00:00+02:00 exclu. Les avis Vite retrouvés dans les résultats consultés sont antérieurs à cette période et ne sont donc pas retenus.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Nuxt
Recherche du sujet effectuée
La recherche des avis de sécurité et publications Nuxt accessibles n’a pas identifié de nouveauté datée de la période demandée, du 2026-11-07T00:00:00+02:00 inclus au 2026-11-08T00:00:00+02:00 exclu. Les avis Nuxt visibles dans les résultats consultés sont datés du 2026-11-02 ou d’avant et sont donc hors période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Next.js
Recherche du sujet effectuée
La recherche web a repéré des avis de sécurité Next.js publiés le 3 novembre 2026, donc avant la période demandée. Aucun résultat consulté n’établit une nouvelle vulnérabilité, un correctif, une exploitation ou une mise à jour substantielle daté du 7 novembre 2026 (00:00 à 00:00 le 8 novembre, UTC+02:00).
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
React
Recherche du sujet effectuée
La recherche web dédiée à React n’a relevé aucun nouvel avis, correctif, événement d’exploitation ni changement substantiel daté du 2026-11-07T00:00:00+02:00 inclus au 2026-11-08T00:00:00+02:00 exclu dans les sources consultées. Les avis React repérés dans GitHub étaient datés antérieurement à cette période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Angular
Recherche du sujet effectuée
La recherche dédiée a trouvé l’avis Angular GHSA-57xq-rjx2-v5xh, associé à CVE-2026-111751, mais il avait été publié avant la période demandée. La mise à jour NVD signalée le 2026-11-07 ne suffit pas à établir une nouvelle vulnérabilité ou un changement substantiel dans la période; aucun item n’est donc retenu.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Astro
Recherche du sujet effectuée
La recherche dédiée sur Astro n’a identifié aucun nouvel avis, correctif de sécurité, signalement d’exploitation ou changement substantiel daté dans la période du 2026-11-07T00:00:00+02:00 inclus au 2026-11-08T00:00:00+02:00 exclu. Les avis Astro repérés dans les résultats étaient antérieurs à cette période; les signalements d’incidents ou problèmes consultés ne constituaient pas des avis de sécurité datés de cette journée.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
TypeScript
Recherche du sujet effectuée
La recherche dédiée sur TypeScript n’a pas identifié de vulnérabilité, correctif ou avis de sécurité dont la publication ou le changement substantiel est vérifiable dans la période du 2026-11-07T00:00:00+02:00 au 2026-11-08T00:00:00+02:00. Les deux candidats concernent Angular et node-opcua, des projets écrits notamment en TypeScript, mais les éléments consultés ne montrent pas de nouvel avis dans cette fenêtre : les avis liés sont antérieurs, et les mises à jour NVD signalées ne suffisent pas à établir un événement de sécurité substantiel pendant la période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
JavaScript
Vérification incomplète
Niveau relevé : Critique
La recherche dédiée a relevé neuf vulnérabilités publiées le 7 novembre 2026 impliquant l’exécution de JavaScript ou une XSS dans des extensions WordPress et IBM API Connect. Le candidat CVE-2026-119155 concerne une injection SQL et a été exclu du sujet JavaScript; les dates de publication des autres candidats inclus sont dans la période demandée. Trois nouvelles fiches NVD publiées dans la période concernent des vulnérabilités liées à JavaScript : divulgation de données dans un plugin WooCommerce, XSS persistante dans Modula et exécution de code côté serveur dans Keycloak. Les autres candidats sont des fiches plus anciennes dont la seule date fournie dans la période est une mise à jour NVD ; les éléments fournis ne démontrent pas de changement substantiel. Aucun événement vérifiable dans la période ne peut être retenu à partir de ce lot : les candidats sont des modifications de fiches NVD, sans indication fournie d’un changement substantiel daté dans la période. Les fiches CVE-2026-44267, CVE-2025-71451 et CVE-2026-63476 ont été publiées avant la période considérée. Sept fiches NVD publiées le 2026-11-07 décrivent des vulnérabilités impliquant l’exécution de JavaScript dans des plugins WordPress ou IBM API Connect. Deux autres candidats concernent des fiches publiées le 2026-11-03 et mises à jour le 2026-11-07 ; les données fournies ne permettent pas d’établir si ces mises à jour sont substantielles. Trois vulnérabilités liées à JavaScript ont été retenues dans les éléments fournis : deux XSS stockées dans des extensions WordPress et une exécution de code côté serveur via une politique JavaScript dans Keycloak.
Exécution de JavaScript et divulgation d’informations dans IBM API Connect
IBM API Connect présente une vulnérabilité permettant à un attaquant distant authentifié d’exécuter du JavaScript et d’obtenir des informations sensibles. L’entrée fournie ne précise pas les versions corrigées.
Action recommandée : Consulter l’avis IBM correspondant et appliquer le correctif indiqué par l’éditeur.
Keycloak : exécution de code via une politique JavaScript malveillante
Keycloak présente une faille dans la gestion des clients qui peut permettre à un utilisateur authentifié disposant de droits de gestion de client de contourner des contrôles et de téléverser une politique JavaScript malveillante. Cette politique peut ensuite s’exécuter côté serveur lors d’une requête d’autorisation et entraîner une exécution de code arbitraire ; les versions affectées et le correctif ne sont pas précisés dans les éléments fournis.
Action recommandée : Appliquer les mises à jour de sécurité Keycloak dès qu’elles sont disponibles et restreindre les permissions de gestion des clients.
CVE-2026-109991 — divulgation de données de commandes dans FunnelKit Payment Gateway for Stripe WooCommerce
Une faille dans le plugin FunnelKit Payment Gateway for Stripe WooCommerce permet à un attaquant non authentifié de consulter les données personnelles de facturation associées à des commandes. Les versions jusqu’à 1.15.0.2 inclus sont concernées ; aucune version corrigée ni mesure de contournement n’est précisée dans les informations fournies.
Action recommandée : Mettre à jour vers une version corrigée dès qu’elle est disponible ; en attendant, limiter l’exposition du plugin et surveiller les accès aux pages de paiement.
XSS stockée dans le plugin WordPress Form Maker by 10Web
Le plugin WordPress Form Maker by 10Web présente une XSS stockée exploitable par un attaquant non authentifié au moyen d’un champ caché insuffisamment assaini. L’exécution nécessite qu’un administrateur ouvre l’écran des soumissions et clique sur le lien Show-on-Map associé à l’entrée piégée.
Action recommandée : Consulter l’avis de l’éditeur pour déterminer la version corrigée et appliquer le correctif disponible.
XSS dans IBM API Connect
IBM API Connect présente une vulnérabilité XSS permettant à un attaquant distant authentifié d’exécuter du JavaScript dans le navigateur d’un autre utilisateur. L’entrée fournie n’indique pas de version corrigée.
Action recommandée : Consulter l’avis IBM correspondant et appliquer le correctif indiqué par l’éditeur.
XSS dans IBM API Connect via le contenu d’un fournisseur
IBM API Connect présente une vulnérabilité XSS permettant à un attaquant distant authentifié d’exécuter du JavaScript dans le navigateur d’un utilisateur. La fiche indique que le contenu HTML fourni par un fournisseur n’est pas suffisamment assaini avant affichage.
Action recommandée : Consulter l’avis IBM correspondant et appliquer le correctif indiqué par l’éditeur.
XSS stockée dans le plugin WordPress Optimole
Le plugin WordPress Optimole est vulnérable à une XSS stockée via des données de srcsets insuffisamment assainies. La description indique que la signature HMAC permettant l’accès à l’endpoint REST est exposée aux visiteurs non authentifiés sur les pages concernées.
Action recommandée : Consulter l’avis de l’éditeur pour déterminer la version corrigée et appliquer le correctif disponible.
XSS stockée dans le plugin WordPress Stop Spammers Classic
Le plugin WordPress Stop Spammers Classic présente une XSS stockée déclenchée lorsque certains administrateurs consultent une ligne de journal empoisonnée et cliquent sur « Report to SFS ». L’exploitation nécessite aussi que la clé API StopForumSpam soit configurée, condition non satisfaite par défaut.
Action recommandée : Consulter l’avis de l’éditeur pour déterminer la version corrigée et appliquer le correctif disponible.
Téléversement de SVG contenant du JavaScript dans Add From Server Lite
Le plugin WordPress Add From Server Lite autorise des utilisateurs ayant le rôle Author ou supérieur à téléverser des SVG contenant du JavaScript. Ces fichiers peuvent ensuite servir à des attaques XSS stockées.
Action recommandée : Mettre à niveau vers la version 6.0.0 ou ultérieure.
SEOPress : XSS stockée via les paramètres de suivi Google Analytics
SEOPress contient une faille XSS stockée liée aux paramètres de suivi Google Analytics, qui permet à un utilisateur authentifié disposant des droits requis d’injecter du script exécuté lors de l’affichage d’une page concernée. Les versions affectées vont jusqu’à 10.3 inclus ; aucun correctif ni contournement n’est précisé dans la source fournie.
Action recommandée : Mettre à jour SEOPress vers une version corrigée dès qu’elle est disponible et limiter la capacité analytics aux comptes de confiance.
Modula : XSS stockée via les liens des éléments de galerie
Le plugin Modula pour WordPress présente une XSS stockée exploitable par un utilisateur authentifié ayant au moins le rôle Auteur. Une valeur de lien contrôlée peut contenir un schéma javascript: et déclencher un script lorsqu’un visiteur clique sur la tuile de galerie ; les versions jusqu’à 3.0.17 inclus sont concernées.
Action recommandée : Mettre à jour Modula vers une version corrigée dès qu’elle est disponible et limiter les droits d’écriture aux utilisateurs de confiance.
XSS dans l’interface Web d’IBM API Connect
IBM API Connect présente une XSS dans son interface Web, exploitable par un utilisateur authentifié. L’exécution du script peut modifier le fonctionnement attendu de la page et potentiellement exposer des identifiants dans une session de confiance.
Action recommandée : Consulter l’avis IBM correspondant et appliquer le correctif indiqué par l’éditeur.
HTML5
Recherche du sujet effectuée
Niveau relevé : Moyenne
La recherche a relevé une publication NVD dans la période pour CVE-2026-119500, concernant une XSS stockée dans l’extension WordPress Flash & HTML5 Video jusqu’à la version 2.14.1. La mise à jour ultérieure de la fiche NVD le même jour n’est pas retenue comme une nouveauté distincte faute d’élément établissant un changement substantiel.
XSS stockée dans l’extension WordPress Flash & HTML5 Video
Une vulnérabilité de type XSS stockée affecte l’extension WordPress Flash & HTML5 Video de bPlugins. Les versions jusqu’à 2.14.1 sont indiquées comme concernées.
Action recommandée : Vérifier la disponibilité d’une version corrigée auprès de l’éditeur et mettre à jour dès qu’elle est confirmée. Si aucune version corrigée n’est disponible, envisager de désactiver l’extension jusqu’à publication d’un correctif.
CSS3
Recherche du sujet effectuée
La recherche dédiée sur CSS3 n’a identifié aucun avis, correctif, événement d’exploitation ou changement substantiel vérifiable daté dans la période demandée. Les résultats pertinents trouvés concernant le composant CSS de Mozilla portent sur des avis datés hors période et sont donc exclus.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Tailwind CSS
Recherche du sujet effectuée
Aucune vulnérabilité, exploitation ni publication d’avis de sécurité Tailwind CSS datée de la période demandée n’a été vérifiée dans les résultats consultés. La version 4.3.5 a été publiée le 2026-11-06, avant le début de la période, et les changements visibles dans l’historique du projet sont antérieurs au 2026-11-07.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Bootstrap
Recherche du sujet effectuée
La recherche dédiée aux avis de sécurité et publications du projet Bootstrap n’a pas identifié de nouvel avis, correctif de sécurité, exploitation ni changement substantiel daté du 2026-11-07 dans la période demandée. Les résultats Bootstrap trouvés hors de cette période ou concernant d’autres événements ne sont pas retenus.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Webpack
Recherche du sujet effectuée
La recherche dédiée aux avis de sécurité, vulnérabilités et publications du projet Webpack n’a fait ressortir aucun événement pertinent daté dans la période du 2026-11-07T00:00:00+02:00 inclus au 2026-11-08T00:00:00+02:00 exclu. Les avis et versions visibles dans les résultats consultés sont antérieurs à cette période; cela ne constitue pas une affirmation d’exhaustivité sur tout le Web.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
esbuild
Recherche du sujet effectuée
La recherche dédiée sur esbuild n’a identifié aucun avis, correctif de sécurité, cas d’exploitation ni changement substantiel vérifiable comme daté entre le 2026-11-07T00:00:00+02:00 inclus et le 2026-11-08T00:00:00+02:00 exclu. Les avis consultés concernent des événements antérieurs à cette période et ne sont donc pas retenus.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Parcel
Recherche du sujet effectuée
La recherche dédiée sur Parcel n’a pas fait ressortir d’avis de sécurité, de correctif ou d’événement d’exploitation vérifié pour la période demandée. Un résultat GitHub daté du 7 novembre concerne un problème de bundling, mais les éléments consultés ne permettent pas de le qualifier de vulnérabilité ou d’événement de sécurité.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Node.js
Vérification incomplète
Un avis de sécurité GitHub pour Undici, GHSA-7xg3-fphp-28hg, est signalé comme publié le 5 novembre 2026. La recherche n’a pas établi d’avis de sécurité du runtime Node.js publié dans la période; l’annonce officielle repérée concerne une publication prévue pour le 11 novembre, après la borne de fin.
Aucune alerte enregistrée pour le moment. La vérification de ce sujet reste incomplète.
Python
Recherche du sujet effectuée
Niveau relevé : Critique
La recherche a identifié, dans la période définie, la publication d’un avis Urwid, celle d’un avis Treeio et deux avis GitHub concernant des paquets PyPI malveillants.
Paquet PyPI qzc690382 : code malveillant exécuté à l’installation
L’avis GitHub signale du code malveillant dans le paquet PyPI qzc690382, version 1.0.0 : son script d’installation démarre un serveur réseau permettant l’exécution de commandes. Le paquet ne présente pas de fonctionnalité légitime cohérente avec ce comportement; retirer le paquet et examiner les systèmes où il a été installé.
Action recommandée : Ne pas installer ce paquet; s’il est présent, le retirer et traiter l’hôte comme potentiellement compromis.
Paquet PyPI qzc690385 : code malveillant dans plusieurs versions
L’avis GitHub signale du code malveillant dans qzc690385, versions 1.0.0 à 1.1.3, notamment un serveur réseau installé en arrière-plan et des interactions avec une API Xinference locale. Les versions signalées sont à éviter; si le paquet a été installé, le retirer et enquêter sur l’hôte.
Action recommandée : Ne pas installer les versions signalées; si l’une d’elles est présente, la retirer et enquêter sur l’hôte.
Treeio : exécution de code possible par désérialisation pickle non sûre
Treeio jusqu’à la version 2.0 désérialise des données pickle non vérifiées dans des fonctions liées aux flux d’actualité. Un membre du personnel pouvant enregistrer une charge forgée dans l’administration Django peut ainsi faire exécuter du code avec les privilèges du serveur Web; aucune version corrigée n’est établie par les éléments consultés.
Action recommandée : Limiter l’accès à l’administration Django aux personnes de confiance et surveiller les annonces du projet pour un correctif.
Urwid : erreurs de décodage/encodage pouvant interrompre le service d’affichage Web
Dans Urwid, le traitement de certaines données POST ou de sortie de polling peut provoquer une erreur de décodage/encodage et interrompre le traitement CGI; des requêtes répétées peuvent aussi épuiser les descripteurs de fichiers. Le problème concerne les versions antérieures à 4.0.7; mettre à jour vers Urwid 4.0.7 ou une version ultérieure.
Action recommandée : Mettre à jour Urwid vers la version 4.0.7 ou ultérieure.
Java
Recherche du sujet effectuée
Niveau relevé : Exploitation rapportée
La recherche a trouvé trois avis publiés le 7 novembre 2026 concernant DataEase et des composants Java : injection SQL, téléversement sans restriction et XSS via SVG. Les fiches NVD fournies signalent des correctifs dans DataEase 3.2.0 pour CVE-2026-123990 et 2.10.28 pour CVE-2026-123991 et CVE-2026-123992; elles indiquent aussi une divulgation publique d’exploits susceptibles d’être utilisés. Les autres candidats fournis concernent des fiches antérieurement publiées et leur seule mise à jour NVD ce jour-là ne suffit pas à établir un événement de sécurité nouveau ou substantiel dans la période. Deux vulnérabilités de DataEase décrites dans des fiches NVD publiées le 2026-11-07 concernent des composants Java : un upload de fichiers sans restriction et une XSS dans le gestionnaire SVG. Les deux fiches indiquent DataEase 2.10.28 comme version correctrice et rapportent que des exploits sont publiés ou publics.
DataEase : téléversement sans restriction via le filtre d’authentification
Une vulnérabilité d’upload sans restriction affecte le filtre d’authentification de DataEase jusqu’à la version 2.10.27. L’avis recommande la mise à niveau vers 2.10.28, qui impose l’authentification sur le point de téléversement concerné indépendamment de la liste blanche des suffixes d’URI.
Action recommandée : Mettre à niveau vers DataEase 2.10.28.
DataEase : injection SQL dans le traitement des opérateurs
Une injection SQL à distance affecte le traitement des opérateurs dans le gestionnaire de données de graphiques de DataEase. Les versions jusqu’à 2.10.27 et 3.1.0 sont signalées comme affectées; mettez à niveau vers la version corrigée indiquée par l’avis.
Action recommandée : Mettre à niveau vers DataEase 3.2.0.
DataEase : XSS lors du traitement de fichiers SVG
Une faille XSS dans le traitement des SVG affecte DataEase jusqu’à la version 2.10.27. Le correctif mentionné dans l’avis est disponible en version 2.10.28 et renforce la validation des contenus SVG et leur politique de sécurité.
Action recommandée : Mettre à niveau vers DataEase 2.10.28.
TYPO3
Recherche du sujet effectuée
Recherche web dédiée effectuée pour TYPO3. Les sources consultées font apparaître des avis TYPO3 datés du 3 novembre 2026, antérieurs à la période demandée, et aucun avis ou changement de sécurité daté du 7 novembre 2026 n’a été vérifié.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Drupal
Recherche du sujet effectuée
La recherche dédiée n’a identifié aucun avis Drupal publié ni changement de sécurité substantiel daté du 2026-11-07 dans la période demandée. Les sources consultées signalent des avis Drupal datés du 2026-11-04, hors période.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Joomla
Recherche du sujet effectuée
Aucune nouvelle vulnérabilité, aucun correctif ou avis de sécurité, aucune exploitation ni mise à jour substantielle concernant Joomla n’a été vérifié comme daté dans la période du 2026-11-07T00:00:00+02:00 inclus au 2026-11-08T00:00:00+02:00 exclu. Les résultats consultés renvoient notamment à des annonces Joomla antérieures à cette période; ils ne sont pas retenus.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Magento
Recherche du sujet effectuée
La recherche dédiée sur Magento n’a pas établi de nouvel avis, correctif, événement d’exploitation ou changement substantiel daté du 2026-11-07T00:00:00+02:00 inclus au 2026-11-08T00:00:00+02:00 exclu. Les résultats consultés renvoient notamment à des avis antérieurs ou à des informations hors de cette période, qui ne sont pas retenus.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
Adobe Commerce
Recherche du sujet effectuée
Recherche web dédiée effectuée pour Adobe Commerce. Les sources Adobe consultées répertorient des bulletins et notes de sécurité dont les dates visibles sont antérieures à la période demandée; aucun nouvel avis, correctif, signalement d’exploitation ou changement substantiel daté du 2026-11-07 (+02:00) n’a été vérifié.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
fooocus
Recherche du sujet effectuée
Pour Fooocus, la recherche effectuée n’a identifié aucun avis, correctif de sécurité, signalement d’exploitation ni changement substantiel vérifiable daté dans la période du 2026-11-07T00:00:00+02:00 au 2026-11-08T00:00:00+02:00. Les résultats consultés comprennent les pages du projet GitHub et ses versions, ainsi que des recherches ciblant les avis de sécurité, les CVE et la date concernée.
Aucune nouvelle alerte relevée pour ce sujet sur cette journée.
✓ Sujet vérifié, aucune alerte relevée · Pastille : nombre d’alertes, du rouge clair (faible) au rouge foncé (critique ou exploitation confirmée). Gris : gravité à préciser ou vérification incomplète.
Frontend
6 alerte(s)Exécution de JavaScript et divulgation d’informations dans IBM API Connect
IBM API Connect présente une vulnérabilité permettant à un attaquant distant authentifié d’exécuter du JavaScript et d’obtenir des informations sensibles. L’entrée fournie ne précise pas les versions corrigées.
Source : NVD — CVE-2026-17146
Keycloak : exécution de code via une politique JavaScript malveillante
Keycloak présente une faille dans la gestion des clients qui peut permettre à un utilisateur authentifié disposant de droits de gestion de client de contourner des contrôles et de téléverser une politique JavaScript malveillante. Cette pol…
Source : NVD — CVE-2026-120984
XSS dans IBM API Connect
IBM API Connect présente une vulnérabilité XSS permettant à un attaquant distant authentifié d’exécuter du JavaScript dans le navigateur d’un autre utilisateur. L’entrée fournie n’indique pas de version corrigée.
Source : NVD — CVE-2026-16709
XSS dans IBM API Connect via le contenu d’un fournisseur
IBM API Connect présente une vulnérabilité XSS permettant à un attaquant distant authentifié d’exécuter du JavaScript dans le navigateur d’un utilisateur. La fiche indique que le contenu HTML fourni par un fournisseur n’est pas suffisammen…
Source : NVD — CVE-2026-17190
XSS dans l’interface Web d’IBM API Connect
IBM API Connect présente une XSS dans son interface Web, exploitable par un utilisateur authentifié. L’exécution du script peut modifier le fonctionnement attendu de la page et potentiellement exposer des identifiants dans une session de c…
Source : NVD — CVE-2026-17390
XSS stockée dans l’extension WordPress Flash & HTML5 Video
Une vulnérabilité de type XSS stockée affecte l’extension WordPress Flash & HTML5 Video de bPlugins. Les versions jusqu’à 2.14.1 sont indiquées comme concernées.
Source : NVD — CVE-2026-119500
Backend & données
9 alerte(s)Paquet PyPI qzc690382 : code malveillant exécuté à l’installation
L’avis GitHub signale du code malveillant dans le paquet PyPI qzc690382, version 1.0.0 : son script d’installation démarre un serveur réseau permettant l’exécution de commandes. Le paquet ne présente pas de fonctionnalité légitime cohérent…
Paquet PyPI qzc690385 : code malveillant dans plusieurs versions
L’avis GitHub signale du code malveillant dans qzc690385, versions 1.0.0 à 1.1.3, notamment un serveur réseau installé en arrière-plan et des interactions avec une API Xinference locale. Les versions signalées sont à éviter; si le paquet a…
DataEase : téléversement sans restriction via le filtre d’authentification
Une vulnérabilité d’upload sans restriction affecte le filtre d’authentification de DataEase jusqu’à la version 2.10.27. L’avis recommande la mise à niveau vers 2.10.28, qui impose l’authentification sur le point de téléversement concerné…
Source : NVD — CVE-2026-123991
DataEase : injection SQL dans le traitement des opérateurs
Une injection SQL à distance affecte le traitement des opérateurs dans le gestionnaire de données de graphiques de DataEase. Les versions jusqu’à 2.10.27 et 3.1.0 sont signalées comme affectées; mettez à niveau vers la version corrigée ind…
Source : NVD — CVE-2026-123990
Treeio : exécution de code possible par désérialisation pickle non sûre
Treeio jusqu’à la version 2.0 désérialise des données pickle non vérifiées dans des fonctions liées aux flux d’actualité. Un membre du personnel pouvant enregistrer une charge forgée dans l’administration Django peut ainsi faire exécuter d…
Source : NVD — CVE-2026-124318
DataEase : XSS lors du traitement de fichiers SVG
Une faille XSS dans le traitement des SVG affecte DataEase jusqu’à la version 2.10.27. Le correctif mentionné dans l’avis est disponible en version 2.10.28 et renforce la validation des contenus SVG et leur politique de sécurité.
Source : NVD — CVE-2026-123992
Ryot : contrôle d’accès insuffisant dans une requête GraphQL
La requête GraphQL `collectionContents` de Ryot ne vérifiait pas les droits d’accès à la collection demandée, permettant à un utilisateur authentifié disposant de son identifiant de consulter des données d’un autre utilisateur. Mettre à jo…
Source : NVD — CVE-2026-119800
Ryot : contrôle de propriété insuffisant sur une mutation GraphQL
La mutation GraphQL `createOrUpdateUserIntegration` de Ryot pouvait modifier une intégration appartenant à un autre utilisateur si son identifiant était connu, en remplaçant sa configuration ou en transférant son association. Mettre à jour…
Source : NVD — CVE-2026-77442
Urwid : erreurs de décodage/encodage pouvant interrompre le service d’affichage Web
Dans Urwid, le traitement de certaines données POST ou de sortie de polling peut provoquer une erreur de décodage/encodage et interrompre le traitement CGI; des requêtes répétées peuvent aussi épuiser les descripteurs de fichiers. Le probl…
Source : NVD — CVE-2026-103022
CMS & e-commerce
140 alerte(s)payever – WooCommerce Gateway : téléversement de fichier pouvant mener à une exécution de code
CVE-2026-93754 affecte le plugin payever – WooCommerce Gateway et peut permettre l’écriture d’un fichier arbitraire dans le répertoire public des téléversements, avec risque d’exécution de code à distance. Les données décrivent des callbac…
Source : NVD — CVE-2026-93754
Téléversement arbitraire et exécution de code dans Printcart Store
Le plugin Printcart Store – Web to Print Product Designer for WooCommerce permet une téléversement arbitraire de fichiers pouvant conduire à l’exécution de code à distance. Le problème touche les versions jusqu’à 2.13.2 incluse et nécessit…
Source : NVD — CVE-2026-19803
Naimur Email OTP Verification : contournement de la réinitialisation de mot de passe
Naimur Email OTP Verification for WooCommerce pour WordPress présente un contournement d’authentification dans le parcours de réinitialisation de mot de passe, affectant les versions jusqu’à 2.1.0 incluse. Un attaquant non authentifié peut…
Source : NVD — CVE-2026-104014
Élévation de privilèges dans Registration Form for WooCommerce
CVE-2026-119075 est une élévation de privilèges dans Registration Form for WooCommerce, versions jusqu’à 1.1.4 incluses. Lors de l’inscription au paiement, le rôle fourni n’est pas limité aux rôles autorisés et peut permettre à un attaquan…
Source : NVD — CVE-2026-119075
Suppression non autorisée de pièces jointes dans Checkout Field Editor for WooCommerce (Pro)
Checkout Field Editor for WooCommerce (Pro) permet la suppression non autorisée de pièces jointes dans les versions jusqu’à 3.8.0 incluse. Le gestionnaire AJAX peut être appelé sans authentification et se fonde sur un nonce exposé dans le…
Source : NVD — CVE-2026-122041
LatePoint : contournement d’authentification et prise de contrôle de compte
LatePoint est vulnérable à un contournement d’authentification permettant la prise de contrôle d’un compte client et, dans certaines configurations, d’un compte WordPress associé. La fiche NVD publiée pendant la période indique que toutes…
Source : NVD — CVE-2026-118066
Tournamatch : suppression de fichiers arbitraires sur le serveur
Un utilisateur disposant d’un rôle aussi bas que Subscriber peut faire supprimer des fichiers arbitraires du serveur lors du téléversement d’une nouvelle image de profil ou d’équipe. Tournamatch est concerné avant la version 4.7.1 ; mettez…
Source : NVD — CVE-2026-121379
Fiber Admin : exécution de code sous conditions de concurrence
Un attaquant non authentifié peut exécuter du code arbitraire sous certaines conditions : la page d’erreur personnalisée de base de données doit être activée et l’attaquant doit gagner une course contre un administrateur qui enregistre les…
Source : NVD — CVE-2026-121491
Injection SQL dans SliceWP Affiliates
SliceWP Affiliates présente une injection SQL via le paramètre « email », exploitable sans authentification lors d’une inscription WooCommerce My Account. La vulnérabilité concerne les versions jusqu’à 1.2.14 incluse et peut permettre l’ex…
Source : NVD — CVE-2026-120043
CVE-2026-109991 — divulgation de données de commandes dans FunnelKit Payment Gateway for Stripe WooCommerce
Une faille dans le plugin FunnelKit Payment Gateway for Stripe WooCommerce permet à un attaquant non authentifié de consulter les données personnelles de facturation associées à des commandes. Les versions jusqu’à 1.15.0.2 inclus sont conc…
Source : NVD — CVE-2026-109991
CVE-2026-104913 : téléversement arbitraire de fichiers dans Interactive Real Estate
Interactive Real Estate – Floor Plan & Building Visualizer est affecté par une vulnérabilité de téléversement de fichiers jusqu’à la version 2.6.0. Elle peut permettre à un utilisateur authentifié de téléverser des fichiers exécutables lor…
Source : NVD — CVE-2026-104913
XSS stockée dans le plugin WordPress Optimole
Optimole présente une XSS stockée via le paramètre `comment`, exploitable sans authentification lorsque le plugin est connecté et que le remplacement d’images est activé. La charge est décodée à l’affichage après avoir échappé aux filtres…
Source : NVD — CVE-2026-119070
XSS stockée dans le plugin WordPress Flying Images
Flying Images présente une XSS stockée via le paramètre `comment`, exploitable sans authentification. Avec la configuration de modération par défaut, le premier commentaire doit être approuvé ; les commentaires suivants du même nom et de l…
Source : NVD — CVE-2026-119175
XSS stockée dans GeoDirectory pour WordPress
Le plugin GeoDirectory pour WordPress présente une XSS stockée via le paramètre `post_content`, résultant d’un filtrage insuffisant des shortcodes imbriqués et de leurs attributs. La vulnérabilité concerne les versions jusqu’à 2.8.200 incl…
Source : NVD — CVE-2026-120082
XSS stockée dans le plugin WordPress Form Maker by 10Web
Le plugin WordPress Form Maker by 10Web présente une XSS stockée exploitable par un attaquant non authentifié au moyen d’un champ caché insuffisamment assaini. L’exécution nécessite qu’un administrateur ouvre l’écran des soumissions et cli…
Source : NVD — CVE-2026-120512
XSS stockée dans le plugin iubenda pour WordPress
Le plugin iubenda pour WordPress présente une XSS stockée liée au retrait puis à la restauration de fragments HTML dans les commentaires. La vulnérabilité concerne les versions jusqu’à 3.13.6 incluse et peut être exploitée après approbatio…
Source : NVD — CVE-2026-120540
XSS stockée dans Pie Register pour WordPress
Le plugin Pie Register pour WordPress présente une XSS stockée via le paramètre `first_name`. La vulnérabilité concerne les versions jusqu’à 3.8.4.16 incluse et son exploitation décrite dépend de l’inscription publique, de la présence d’un…
Source : NVD — CVE-2026-119158
XSS stockée dans Optimole pour WordPress via les commentaires
Le plugin Optimole pour WordPress présente une XSS stockée via le paramètre `comment`. La vulnérabilité concerne les versions jusqu’à 4.2.18 incluse et nécessite, selon les informations fournies, l’approbation du commentaire ainsi qu’un co…
Source : NVD — CVE-2026-120677
XSS stockée dans TranslatePress
TranslatePress présente une vulnérabilité de XSS stockée via le paramètre « comment ». L’exploitation est possible sans authentification, mais requiert notamment un commentaire antérieur approuvé pour la même paire nom/adresse électronique…
Source : NVD — CVE-2026-119167
Strong Testimonials : XSS stockée dans le paramètre star_rating
Strong Testimonials présentait une faille de XSS stockée via le paramètre « star_rating », permettant à un attaquant non authentifié d’injecter un script. Toutes les versions jusqu’à 3.3.16 inclus sont concernées ; l’exécution suppose qu’u…
Source : NVD — CVE-2026-115811
Unlimited Elements for Elementor : XSS via un flux RSS contrôlé
Unlimited Elements for Elementor était vulnérable à une XSS stockée via le contenu d’un flux RSS contrôlé par l’attaquant, dans les sites utilisant le widget de catalogue RSS configuré vers ce flux. Toutes les versions jusqu’à 2.0.26 inclu…
Source : NVD — CVE-2026-116558
XSS stocké dans TranslatePress
TranslatePress jusqu’à la version 3.3.8 présente une XSS stockée déclenchable sans authentification via des paramètres liés aux commentaires et aux données de langue. Le script injecté s’exécute lorsqu’un utilisateur consulte une page affe…
Source : NVD — CVE-2026-120537
XSS stocké dans AgenWebsite Shipping
AgenWebsite Shipping jusqu’à la version 9.2.41 présente une XSS stockée via le paramètre zipcode, exploitable sans authentification. Le script injecté s’exécute dans les pages affectées lorsqu’elles sont consultées.
Source : NVD — CVE-2026-122037
Désérialisation PHP non sûre dans QA Assistants
QA Assistants jusqu’à la version 5.3.0 présente une désérialisation PHP non sûre accessible sans authentification, susceptible de conduire à une écriture arbitraire de fichier et à une exécution de code à distance. Le déclenchement dépend…
Source : NVD — CVE-2026-87112
Advanced Form Integration : injection d’objets PHP
La fiche NVD publiée le 2026-11-07 signale une injection d’objets PHP dans Advanced Form Integration jusqu’à la version 2.10.2 incluse. Elle peut devenir plus grave si un autre composant du site fournit une chaîne POP; mettez à jour dès qu…
Source : NVD — CVE-2026-104738
WPJAM Basic : élévation de privilèges lors de l’inscription
La fiche NVD publiée le 2026-11-07 décrit une élévation de privilèges dans WPJAM Basic jusqu’à la version 7.1 incluse. Sous certaines conditions de configuration, un attaquant non authentifié peut créer un compte administrateur; mettez à j…
Source : NVD — CVE-2026-103900
Amelia : accès non autorisé aux données des participants
La fiche NVD publiée le 2026-11-07 décrit une exposition de données de participants dans Amelia jusqu’à la version 9.9.1 incluse. Un compte authentifié ayant le rôle wpamelia-customer ou des privilèges supérieurs peut obtenir le CSV des pa…
Source : NVD — CVE-2026-107616
wpForo Forum : injection SQL non authentifiée
La fiche NVD publiée le 2026-11-07 signale une injection SQL dans wpForo Forum jusqu’à la version 3.2.2 incluse. Un attaquant non authentifié peut exploiter le paramètre href[locale] pour accéder à des informations sensibles de la base de…
Source : NVD — CVE-2026-119155
wpForo Forum : élévation de privilèges par groupe secondaire
La fiche NVD publiée le 2026-11-07 décrit une élévation de privilèges dans wpForo Forum jusqu’à la version 3.2.2 incluse. Un utilisateur authentifié de niveau abonné ou supérieur peut obtenir des privilèges d’administrateur wpForo sous cer…
Source : NVD — CVE-2026-119164
WordPress — injection SQL dans wpForo Forum
wpForo Forum est vulnérable à une injection SQL jusqu’à la version 3.2.1 incluse, via le paramètre data, lorsque certains champs de formulaire de recherche sont configurés. Un attaquant non authentifié peut alors extraire des informations…
Source : NVD — CVE-2026-95870
Motors : suppression arbitraire de fichiers dans les téléversements
Motors – Car Dealership & Classified Listings Plugin pour WordPress présente une suppression arbitraire de fichiers due à une validation insuffisante des chemins, dans toutes les versions jusqu’à 1.4.125 incluse. La description précise que…
Source : NVD — CVE-2026-104746
WordPress — création possible d’un compte administrateur via AutomatorWP
AutomatorWP permet une élévation de privilèges jusqu’à la version 6.0.4 incluse lorsqu’une automatisation anonyme utilise des données dynamiques pour définir un rôle. Dans la configuration décrite, l’approbation d’un commentaire peut entra…
Source : NVD — CVE-2026-104768
User Frontend : XSS stockée via un champ de taxonomie
User Frontend pour WordPress présente une XSS stockée dans la configuration d’une taxonomie, dans toutes les versions jusqu’à 4.3.13 incluse. L’exploitation par un visiteur non authentifié nécessite qu’un formulaire frontal permette les so…
Source : NVD — CVE-2026-109214
WP Visitor Statistics : XSS stockée via le suivi des visiteurs
WP Visitor Statistics (Real Time Traffic) pour WordPress présente une XSS stockée via le paramètre « browser », dans toutes les versions jusqu’à 8.7.1 incluse. Un attaquant non authentifié peut enregistrer la charge par le point de suivi p…
Source : NVD — CVE-2026-109230
XSS stockée dans JetFormBuilder
CVE-2026-111317 est une XSS stockée dans JetFormBuilder, versions jusqu’à 3.6.7 incluses, due à une validation et un échappement insuffisants. Elle nécessite un formulaire avec enregistrement activé et un préréglage d’enregistrement; aucun…
Source : NVD — CVE-2026-111317
XSS stockée dans WP Visitor Statistics
CVE-2026-111370 concerne une XSS stockée dans WP Visitor Statistics (Real Time Traffic), versions jusqu’à 8.9.0 incluses. Des scripts injectés peuvent s’exécuter lorsqu’un utilisateur consulte une page affectée; aucun correctif ni contourn…
Source : NVD — CVE-2026-111370
XSS stockée dans Quttera ThreatSign
CVE-2026-115548 est une XSS stockée dans Quttera ThreatSign – Web Malware Scanner, versions jusqu’à 4.1.0.48 incluses. Un script injecté peut s’exécuter lorsqu’un administrateur consulte une page affectée; les données fournies ne précisent…
Source : NVD — CVE-2026-115548
XSS stockée dans Link Library
CVE-2026-116537 est une XSS stockée dans Link Library, versions jusqu’à 7.10.0 incluses. Son exploitation dépend de l’activation du réglage non standard qui convertit les crochets en balises HTML; aucun correctif n’est précisé dans les inf…
Source : NVD — CVE-2026-116537
Injection SQL dans Amelia Pro
Une injection SQL par le paramètre tag[] peut permettre à un attaquant non authentifié d’extraire des informations sensibles de la base de données. Les versions jusqu’à 9.9.1 incluse sont concernées ; aucun correctif ni contournement n’est…
Source : NVD — CVE-2026-116751
Contournement des restrictions d’écriture dans WP Data Access
CVE-2026-118267 est une faille d’autorisation dans WP Data Access, versions jusqu’à 5.5.89 incluses, permettant d’écrire hors des restrictions de lignes et de colonnes configurées. Selon la configuration des Data Apps, un attaquant authent…
Source : NVD — CVE-2026-118267
XSS stockée dans JetFormBuilder via un formulaire public
CVE-2026-119183 est une XSS stockée dans JetFormBuilder, versions jusqu’à 3.6.8 incluses. Elle nécessite un formulaire public Insert Post écrivant dans une métadonnée et un champ calculé qui référence cette métadonnée; aucun correctif ni c…
Source : NVD — CVE-2026-119183
XSS stockée dans WS Form LITE (CVE-2026-122231)
WS Form LITE jusqu’à la version 1.12.18 incluse présente une XSS stockée via le paramètre `field_[0][0]`, exploitable sans authentification. Une valeur non textuelle contourne l’échappement côté client et atteint jQuery `.append()` sans éc…
Source : NVD — CVE-2026-122231
XSS stockée dans Church Admin (CVE-2026-123418)
Church Admin jusqu’à la version 5.1.7 incluse présente une XSS stockée via le paramètre `lat`, exploitable sans authentification lorsque la clé d’API Google Maps est configurée dans les réglages du plugin. La source ne fournit ni version c…
Source : NVD — CVE-2026-123418
XSS stockée dans VikBooking (CVE-2026-93429)
VikBooking jusqu’à la version 1.8.17 incluse présente une XSS stockée via le paramètre `guests[][][documents]`. L’attaque nécessite une paire valide `sid/ts`, obtenable par une réservation publique standard selon la source ; aucune version…
Source : NVD — CVE-2026-93429
XSS stockée dans Happyforms (CVE-2026-93755)
Happyforms jusqu’à la version 1.38.9 incluse présente une XSS stockée via les en-têtes IP client usurpables lors de soumissions de formulaire non authentifiées. La valeur est stockée puis affichée sans échappement dans l’écran d’administra…
Source : NVD — CVE-2026-93755
XSS stockée dans Happyforms Pro
Happyforms Pro présente une XSS stockée via le paramètre `happyforms_client_referer`, exploitable sans authentification dans les versions jusqu’à 1.38.9 incluse. La fiche NVD indique une gravité élevée (CVSS 7.2), mais ne fournit ici ni ve…
Source : NVD — CVE-2026-93766
XSS stockée dans Download Manager
Download Manager présente une XSS stockée dans les champs d’inscription, dans les versions jusqu’à 7.5.9 incluse. Le scénario décrit exige que l’inscription publique soit activée, que le formulaire du plugin soit publié et qu’un paquet réd…
Source : NVD — CVE-2026-119156
XSS stockée dans le plugin WordPress Optimole
Le plugin WordPress Optimole est vulnérable à une XSS stockée via des données de srcsets insuffisamment assainies. La description indique que la signature HMAC permettant l’accès à l’endpoint REST est exposée aux visiteurs non authentifiés…
Source : NVD — CVE-2026-120739
Komfortkasse for WooCommerce : création possible d’un compte administrateur
CVE-2026-122001 concerne Komfortkasse for WooCommerce : avant la version 1.4.9, le plugin ne validait pas correctement l’authenticité des requêtes REST et contournait ainsi la vérification nonce de WordPress. Une requête forgée dans le nav…
Source : NVD — CVE-2026-122001
XSS stockée dans FV Flowplayer Video Player
FV Flowplayer Video Player avant 7.5.57.7212 ne neutralise pas certaines valeurs d’attribut de shortcode intégrées dans des commentaires. Si l’analyse des shortcodes dans les commentaires est activée, un visiteur non authentifié peut faire…
Source : NVD — CVE-2026-117525
Magic Link : connexion possible à un compte administrateur
CVE-2026-121848 concerne Magic Link : avant la version 2.2.6, le plugin ne vérifiait pas que l’utilisateur demandant un lien de connexion était autorisé à en générer un pour le compte choisi. Un utilisateur authentifié pouvait obtenir un l…
Source : NVD — CVE-2026-121848
iLeads SMS Gateway by Exsile : modification d’options et élévation de privilèges
CVE-2026-121866 concerne iLeads SMS Gateway by Exsile : avant la version 2.0.0, plusieurs actions AJAX ne vérifiaient ni les capacités ni les nonces avant de modifier une option WordPress désignée par la requête. Tout utilisateur authentif…
Source : NVD — CVE-2026-121866
Active Woot Products Tables : suppression non autorisée de fichiers de la médiathèque
CVE-2026-120560 permet à des attaquants non authentifiés de supprimer des pièces jointes de la médiathèque WordPress et leurs fichiers associés. La faille concerne les versions jusqu’à 2.1.5 incluse ; aucun correctif n’est précisé dans les…
Source : NVD — CVE-2026-120560
QODE Wishlist for WooCommerce : XSS stockée dans les listes de souhaits
CVE-2026-121516 permet à des visiteurs non authentifiés de stocker un script dans QODE Wishlist for WooCommerce, via un paramètre lié aux articles des visiteurs. L’exploitation dépend d’une interaction de la victime avec une URL de partage…
Source : NVD — CVE-2026-121516
Event Tickets with Ticket Scanner : accès indu aux données de billets
CVE-2026-121857 concerne Event Tickets with Ticket Scanner : avant la version 3.1.14, le plugin ne vérifiait pas que l’utilisateur pouvait gérer les commandes WooCommerce avant de consulter ou supprimer des données de billets. Un utilisate…
Source : NVD — CVE-2026-121857
Lecture de fichiers par traversée de répertoire dans Vanquish Upload Files for WooCommerce
Vanquish Upload Files for WooCommerce jusqu’à la version 2.7.13 présente une traversée de répertoire permettant à un utilisateur authentifié à partir du rôle Subscriber de lire des fichiers arbitraires du serveur. Le défaut concerne le tra…
Source : NVD — CVE-2026-122265
Exposition de données de clients dans Paystack WooCommerce Payment Gateway
Paystack WooCommerce Payment Gateway jusqu’à la version 5.8.5 peut exposer des données personnelles de clients à des attaquants non authentifiés par le paramètre key. La faille concerne les sites où la fonctionnalité facultative de métadon…
Source : NVD — CVE-2026-93370
CVE-2026-119510 — XSS stockée dans MC Woocommerce Wishlist
MC Woocommerce Wishlist présente une vulnérabilité de neutralisation incorrecte des entrées lors de la génération de pages, décrite comme une XSS stockée. La source indique que les versions jusqu’à 2.0.3 sont affectées, sans préciser les c…
Source : NVD — CVE-2026-119510
CVE-2026-121779 — Exposition d’informations sensibles dans YITH WooCommerce Subscription
YITH WooCommerce Subscription présente une vulnérabilité d’exposition d’informations sensibles à une sphère de contrôle non autorisée. La source indique que les versions jusqu’à 4.22.0 sont affectées, mais ne précise ni les données exposée…
Source : NVD — CVE-2026-121779
MC Woocommerce Wishlist : défaut d’autorisation
Une faille d’autorisation affecte MC Woocommerce Wishlist jusqu’à la version 2.0.3 incluse. Elle peut permettre un accès non autorisé ; mettez à jour le plugin si une version corrigée est disponible, ou désactivez-le en attendant.
Source : NVD — CVE-2026-119511
Dropshipping XML for WooCommerce : défaut d’autorisation
Dropshipping XML for WooCommerce est affecté par une faille d’autorisation jusqu’à la version 1.7.4 incluse. En l’absence de version corrigée précisée dans la source, mettez à jour dès qu’un correctif est disponible ou désactivez le plugin…
Source : NVD — CVE-2026-119525
Autopay dla WooCommerce : défaut d’autorisation
Autopay dla WooCommerce présente une faille d’autorisation dans les versions jusqu’à 2.3.0 incluse. La source ne donne pas de version corrigée ; appliquez un correctif dès qu’il est disponible ou désactivez le plugin en attendant.
Source : NVD — CVE-2026-121571
XSS stockée dans WP-Members via le paiement WooCommerce classique
WP-Members Membership Plugin présente une XSS stockée dans le parcours de paiement WooCommerce classique, via un champ multisélection, dans les versions jusqu’à 3.5.7 incluse. L’exploitation nécessite un compte avec le rôle abonné ou supér…
Source : NVD — CVE-2026-96565
XSS stockée dans Active Woot Products Tables for WooCommerce
Active Woot Products Tables for WooCommerce présente une XSS stockée via le paramètre `help_title` dans les versions jusqu’à 2.1.5 incluse. Des attaquants authentifiés disposant au minimum du rôle contributeur peuvent injecter des scripts;…
Source : NVD — CVE-2026-120579
Active Products Tables for WooCommerce : vulnérabilité XSS
Active Products Tables for WooCommerce est affecté par une vulnérabilité XSS jusqu’à la version 2.1.6 incluse. La description fournie ne précise ni le vecteur d’entrée ni le niveau d’accès requis ; mettez à jour dès qu’une version corrigée…
Source : NVD — CVE-2026-123183
CVE-2026-123461 — contrôle d’accès manquant dans FOX – WooCommerce Currency Switcher
Une vulnérabilité de contrôle d’accès manquant affecte le plugin FOX – WooCommerce Currency Switcher de PluginUs.Net. La fiche NVD indique que les versions jusqu’à 1.5.6 sont concernées; aucun correctif ni détail supplémentaire sur l’impac…
Source : NVD — CVE-2026-123461
CVE-2026-115816 : XSS stockée dans Kubio AI Page Builder
Kubio AI Page Builder est affecté par une vulnérabilité XSS stockée via le paramètre de commentaire d’avis jusqu’à la version 2.9.4. Un script injecté peut s’exécuter sur les pages concernées si l’avis est approuvé et si le modèle de produ…
Source : NVD — CVE-2026-115816
XSS stockée dans le plugin WordPress Motors
Motors – Car Dealership & Classified Listings présente une XSS stockée via le paramètre `stm_f_s[make]`, exploitable par un utilisateur authentifié disposant au moins du rôle Subscriber. La faille concerne les versions jusqu’à 1.4.128 et r…
Source : NVD — CVE-2026-116562
XSS DOM stockée dans le plugin WordPress JS Help Desk
JS Help Desk présente une XSS stockée de type DOM via le paramètre `jsticket_message`, exploitable par un utilisateur authentifié disposant au moins du rôle Subscriber. Le déclenchement survient lorsqu’un administrateur ou un agent ouvre l…
Source : NVD — CVE-2026-118046
XSS DOM stockée dans le plugin WordPress LearnPress – Course Review
LearnPress – Course Review présente une XSS stockée de type DOM via le titre d’un avis, exploitable par un utilisateur authentifié disposant au moins du rôle Subscriber. Le code ne s’exécute qu’après approbation de l’avis, sauf configurati…
Source : NVD — CVE-2026-118054
XSS stockée dans le plugin WordPress Form Maker by 10Web
Form Maker by 10Web présente une XSS stockée via des paramètres de soumission de formulaire, exploitable sans authentification sous certaines conditions. La cible doit contenir un champ File Upload et l’exécution a lieu lorsqu’un administr…
Source : NVD — CVE-2026-118067
XSS stockée dans le plugin WordPress LifterLMS
LifterLMS présente une XSS stockée via le paramètre `answer[]`, exploitable par un étudiant authentifié inscrit à un cours concerné. Le script s’exécute dans le navigateur de l’administrateur pendant la correction d’une tentative ; aucun c…
Source : NVD — CVE-2026-119098
XSS stockée dans le plugin WordPress LatePoint
LatePoint présente une XSS stockée via l’adresse e-mail du client, exploitable sans compte WordPress au moyen du formulaire public de réservation. Les versions concernées vont jusqu’à 5.7.6 ; aucun correctif n’est indiqué dans la source.
Source : NVD — CVE-2026-119152
XSS stockée dans le plugin WordPress WPBakery Page Builder
WPBakery Page Builder présente une XSS stockée via les champs `display_name` ou `nickname`, exploitable par un utilisateur authentifié disposant au moins du rôle Subscriber sous certaines conditions d’affichage. Un article public attribué…
Source : NVD — CVE-2026-119165
XSS DOM stockée dans le plugin WordPress Greenshift
Greenshift présente une XSS stockée de type DOM via l’URL de l’auteur d’un commentaire, exploitable sans authentification. L’exécution nécessite une configuration particulière de l’Interaction Layer et se produit lorsque le bloc Counter af…
Source : NVD — CVE-2026-119218
XSS stockée dans Jupiter X Core pour WordPress
Le plugin Jupiter X Core pour WordPress présente une XSS stockée via le paramètre `fields[]`, liée à une validation et un échappement insuffisants. La faille concerne les versions jusqu’à 4.62.0 incluse et peut être déclenchée dans certain…
Source : NVD — CVE-2026-119219
Inclusion de fichier local dans Noptin
Une inclusion de fichier local dans Noptin permet à un visiteur non authentifié de faire enregistrer une valeur malveillante comme prénom, puis de provoquer son inclusion lors de l’envoi d’une newsletter. L’exploitation nécessite toutefois…
Source : NVD — CVE-2026-119616
Exposition de cookies de session via Greenshift
Une faille de divulgation d’informations dans Greenshift peut exposer les cookies de session WordPress d’utilisateurs authentifiés lorsque le site comporte un bloc image public configuré avec un espace réservé `{{GET:}}`. L’exploitation ex…
Source : NVD — CVE-2026-120520
Lecture de fichiers par traversée de répertoires dans Jupiter X Core
Une faille de traversée de répertoires dans Jupiter X Core permet à un attaquant non authentifié de lire des fichiers situés dans le répertoire `wp-content/uploads/`. La vérification de confinement empêche, selon la fiche, l’accès à `wp-co…
Source : NVD — CVE-2026-120555
Jupiter X Core : contournement d’autorisation et exposition de contenus
CVE-2026-120737 permet à des attaquants non authentifiés d’énumérer et d’afficher certains types de contenus publiés, notamment des dossiers de soumission Flamingo, ainsi que d’interroger des métadonnées. L’exploitation dépend de la config…
Source : NVD — CVE-2026-120737
XSS stockée dans MotoPress Appointment Booking Lite pour WordPress
Le plugin MotoPress Appointment Booking Lite pour WordPress présente une XSS stockée via le point d’accès REST public de création de clients. La vulnérabilité concerne les versions jusqu’à 2.4.8 incluse et résulte de l’absence de nettoyage…
Source : NVD — CVE-2026-120741
XSS stockée dans FV Flowplayer Video Player pour WordPress
Le plugin FV Flowplayer Video Player pour WordPress présente une XSS stockée via le paramètre `comment`. La vulnérabilité concerne les versions jusqu’à 7.5.56.7212 incluse; son déclenchement décrit dépend de l’activation de l’option de tra…
Source : NVD — CVE-2026-121515
XSS stockée dans Social Slider Feed pour WordPress
Le plugin Social Slider Feed pour WordPress présente une XSS stockée via le paramètre `slidespeed`. La vulnérabilité concerne les versions jusqu’à 2.3.8 incluse et permet à des utilisateurs authentifiés disposant au minimum d’un compte Sub…
Source : NVD — CVE-2026-121519
XSS stockée dans Redux Framework
Redux Framework présente une vulnérabilité de XSS stockée dans le paramètre « content ». Un attaquant authentifié disposant au minimum du rôle d’abonné peut injecter du script, sous certaines conditions liées au thème.
Source : NVD — CVE-2026-110534
Contournement d’autorisation dans Redux Framework
Redux Framework ne vérifie pas correctement les autorisations lors de l’export de la configuration du panneau Redux. Un utilisateur authentifié disposant au minimum du rôle d’abonné peut ainsi accéder à des informations de configuration se…
Source : NVD — CVE-2026-110705
XSS stockée dans le plugin WordPress Stop Spammers Classic
Le plugin WordPress Stop Spammers Classic présente une XSS stockée déclenchée lorsque certains administrateurs consultent une ligne de journal empoisonnée et cliquent sur « Report to SFS ». L’exploitation nécessite aussi que la clé API Sto…
Source : NVD — CVE-2026-120477
Accès non autorisé à des données dans Tutor LMS
Tutor LMS présente une référence directe à un objet non sécurisée dans les routes API, permettant à certains utilisateurs authentifiés d’accéder à des contenus ou données qui ne leur sont pas destinés. L’exploitation exige une paire valide…
Source : NVD — CVE-2026-93779
XSS stockée dans le thème Soledad
Le thème Soledad présente une XSS stockée dans les champs de profils sociaux. Un utilisateur authentifié ayant au minimum le rôle d’abonné peut injecter un script qui est ensuite exposé sur sa page d’auteur publique.
Source : NVD — CVE-2026-93902
XSS stockée dans Stackable
Stackable – Page Builder Gutenberg Blocks présente une XSS stockée dans le point de terminaison update_block_style. Un utilisateur authentifié disposant au minimum du rôle de contributeur peut injecter du script dans des pages consultées p…
Source : NVD — CVE-2026-9601
CSRF dans WP Google Review Slider
WP Google Review Slider avant 18.11 ne vérifie pas le nonce lors de la modification de la configuration active de Google Places. Un attaquant peut provoquer une requête forgée si un administrateur suit un lien malveillant, et ainsi altérer…
Source : NVD — CVE-2026-117588
Directorist : divulgation des détails de fiches privées
La faille permet à un utilisateur authentifié disposant au moins du rôle Subscriber de consulter les détails de fiches privées ou en brouillon appartenant à d’autres utilisateurs, y compris leurs coordonnées. Directorist est concerné avant…
Source : NVD — CVE-2026-118528
Directorist : verrouillage de comptes sur un réseau multisite
Sur une installation multisite, un administrateur d’un site peut verrouiller des utilisateurs d’autres sites du réseau, y compris le Super Administrator, en déclenchant la vérification de leur adresse électronique. Directorist est concerné…
Source : NVD — CVE-2026-118530
Directorist : suppression non autorisée de médias
Un utilisateur authentifié disposant au moins du rôle Subscriber peut supprimer des pièces jointes arbitraires de la médiathèque et leurs fichiers, y compris des médias déposés par des administrateurs. Directorist est concerné avant la ver…
Source : NVD — CVE-2026-118532
Directorist : divulgation d’informations de commande et de paiement
Un utilisateur authentifié peut consulter les informations de commande et de paiement d’autres utilisateurs, notamment le montant, le moyen de paiement, le statut et l’identifiant de transaction. Directorist est concerné avant la version 8…
Source : NVD — CVE-2026-118533
Directorist : tentatives de paiement sur les commandes d’autrui
Un utilisateur authentifié peut créer des tentatives de paiement sur les commandes d’autres utilisateurs. Directorist est concerné avant la version 8.11 ; mettez le plugin à jour vers la version 8.11 ou ultérieure.
Source : NVD — CVE-2026-118534
Live Composer : script intersite stocké via un shortcode
Un utilisateur disposant au moins du rôle Contributor peut exploiter une faille de script intersite stocké au moyen d’un paramètre de pagination fourni par un shortcode de module de liste d’articles. Live Composer est concerné avant la ver…
Source : NVD — CVE-2026-119073
Tournamatch : divulgation d’adresses électroniques d’invités
Des utilisateurs non authentifiés peuvent récupérer les adresses électroniques de personnes invitées à rejoindre des équipes. Tournamatch est concerné avant la version 4.7.1 ; mettez le plugin à jour vers la version 4.7.1 ou ultérieure.
Source : NVD — CVE-2026-121380
Fiber Admin : modification non autorisée de l’ordre des contenus
CVE-2026-121492 concerne Fiber Admin : avant la version 4.0.1, certaines actions AJAX ne vérifiaient pas les autorisations et permettaient à des utilisateurs non authentifiés de modifier l’ordre de publications, y compris privées ou brouil…
Source : NVD — CVE-2026-121492
Téléversement de SVG contenant du JavaScript dans Add From Server Lite
Le plugin WordPress Add From Server Lite autorise des utilisateurs ayant le rôle Author ou supérieur à téléverser des SVG contenant du JavaScript. Ces fichiers peuvent ensuite servir à des attaques XSS stockées.
Source : NVD — CVE-2026-121796
Event Tickets with Ticket Scanner : injection SQL dans des listes d’administration
CVE-2026-121858 concerne Event Tickets with Ticket Scanner : avant la version 3.2.9, une valeur de recherche n’était pas correctement échappée avant son utilisation dans des requêtes SQL de plusieurs listes d’administration. Un utilisateur…
Source : NVD — CVE-2026-121858
QSM : exécution de shortcodes arbitraires sans authentification
Quiz and Survey Master (QSM) permettait l’exécution de shortcodes arbitraires par un attaquant non authentifié, en raison d’une valeur insuffisamment validée avant son traitement. Toutes les versions jusqu’à 11.2.7 inclus sont concernées ;…
Source : NVD — CVE-2026-103917
Ultimate Member : XSS stockée dans une note de profil
Ultimate Member présentait une XSS stockée via « pm_note » ou un champ textarea personnalisé dont le HTML est désactivé ; un utilisateur authentifié de niveau abonné ou supérieur pouvait injecter un script. Toutes les versions jusqu’à 2.14…
Source : NVD — CVE-2026-116621
WP Data Access : XSS stockée dans le libellé d’autocomplétion
WP Data Access était vulnérable à une XSS stockée dans le libellé d’autocomplétion d’un formulaire simple, lorsque l’attaquant authentifié pouvait modifier une ligne de recherche via un formulaire ancien. Les versions jusqu’à 5.5.89 inclus…
Source : NVD — CVE-2026-118048
WP Data Access : XSS stockée via une colonne rendue comme URL d’image
WP Data Access permettait une XSS stockée par le biais d’une valeur de colonne de type URL d’image, notamment une valeur issue de wp_usermeta.description. Les versions jusqu’à 5.5.89 inclus sont concernées ; l’exploitation décrite nécessit…
Source : NVD — CVE-2026-118204
aBlocks : XSS stockée via le paramètre headingTag
aBlocks était vulnérable à une XSS stockée via le paramètre « headingTag », pour toutes les versions jusqu’à 2.18.0 inclus. Des utilisateurs authentifiés ayant le rôle contributeur ou supérieur pouvaient injecter un script ; la source ne p…
Source : NVD — CVE-2026-118800
aBlocks : exposition du contenu de publications protégées par mot de passe
aBlocks exposait le contenu complet rendu de publications protégées par mot de passe via un shortcode utilisant l’identifiant de la publication. Les versions jusqu’à 2.18.0 inclus sont concernées ; la source indique qu’un utilisateur authe…
Source : NVD — CVE-2026-118801
XSS stocké dans WP Data Access
Le plugin WP Data Access jusqu’à la version 5.5.90 permet à des utilisateurs authentifiés ayant au moins le rôle Subscriber d’injecter du JavaScript stocké via les formulaires Data Projects. Le code injecté s’exécute lorsqu’un utilisateur…
Source : NVD — CVE-2026-120479
SEOPress : XSS stockée via les paramètres de suivi Google Analytics
SEOPress contient une faille XSS stockée liée aux paramètres de suivi Google Analytics, qui permet à un utilisateur authentifié disposant des droits requis d’injecter du script exécuté lors de l’affichage d’une page concernée. Les versions…
Source : NVD — CVE-2026-120515
Injection SQL dans WP Backup and Migration
WebToffee WP Backup and Migration jusqu’à la version 1.6.1 comporte une injection SQL via le paramètre description, exploitable par un utilisateur authentifié à partir du rôle Subscriber. L’exploitation dépend toutefois d’une action ultéri…
Source : NVD — CVE-2026-120530
Injection SQL dans WP Data Access
WP Data Access jusqu’à la version 5.5.90 présente une injection SQL via le paramètre engine, accessible à des utilisateurs authentifiés à partir du rôle Subscriber. L’exploitation suppose qu’un administrateur ait configuré une page Data Pr…
Source : NVD — CVE-2026-121536
Injection SQL dans GamiPress
GamiPress jusqu’à la version 8.1.1 comporte une injection SQL liée aux champs d’une soumission Gravity Forms, accessible à des utilisateurs authentifiés à partir du rôle Subscriber. L’exploitation requiert un succès GamiPress configuré pou…
Source : NVD — CVE-2026-121792
Amelia : export non autorisé des réservations
La fiche NVD publiée le 2026-11-07 signale un contournement d’autorisation dans Amelia jusqu’à la version 9.9.1 incluse. Des utilisateurs authentifiés disposant d’un accès de niveau personnalisé ou supérieur peuvent exporter les réservatio…
Source : NVD — CVE-2026-104992
wpForo Forum : suppression arbitraire de fichiers
La fiche NVD publiée le 2026-11-07 signale une suppression arbitraire de fichiers dans wpForo Forum jusqu’à la version 3.2.2 incluse. Un attaquant authentifié peut exploiter cette faiblesse dans une configuration particulière de groupes se…
Source : NVD — CVE-2026-110004
WPSpeed : XSS stockée via l’optimisation LightImages
Le plugin WPSpeed pour WordPress présente une XSS stockée exploitable par un utilisateur authentifié disposant du rôle Abonné ou supérieur, via le traitement de pages d’archives d’auteur et de contenu HTML encodé. Les versions jusqu’à 2.6.…
Source : NVD — CVE-2026-118784
Zephyr Project Manager : XSS stockée dans le profil utilisateur
Zephyr Project Manager pour WordPress comporte une XSS stockée dans le paramètre « zpm_profile_picture », exploitable par un utilisateur authentifié ayant le rôle Abonné ou supérieur. Toutes les versions jusqu’à 3.3.209 incluses sont conce…
Source : NVD — CVE-2026-120514
wpForo Forum : XSS stockée dans le contenu des publications
Le plugin wpForo Forum pour WordPress présente une XSS stockée via le paramètre « post[body] », en raison d’une validation insuffisante des entrées et d’un échappement inadéquat. Les versions jusqu’à 3.2.2 incluses sont concernées ; la sou…
Source : NVD — CVE-2026-120532
WordPress — exposition d’une clé API dans YML for Yandex Market
Le module YML for Yandex Market expose, jusqu’à la version 5.10.0 incluse, la clé API Yandex Market en clair dans un journal accessible publiquement, sous certaines conditions de configuration. Désactivez la conservation des journaux conce…
Source : NVD — CVE-2026-120548
Premium Blocks : autorisation manquante
Premium Blocks – Gutenberg Blocks for WordPress présente une vulnérabilité de contrôle d’accès manquant, affectant les versions indiquées comme « n/a » jusqu’à 2.3.18. La description fournie ne précise ni les opérations accessibles sans au…
Source : NVD — CVE-2026-123466
WordPress — exécution de shortcodes dans Dynific Addons for Elementor
Dynific Addons for Elementor, anciennement Anywhere Elementor, permet l’exécution arbitraire de shortcodes jusqu’à la version 1.3.0 incluse. L’exploitation dépend de la présence d’une page publique utilisant un modèle AE avec le widget AE…
Source : NVD — CVE-2026-102564
WordPress — injection SQL dans Dynific Addons for Elementor
Dynific Addons for Elementor présente une injection SQL dans le paramètre q jusqu’à la version 1.3 incluse. Un utilisateur authentifié disposant au minimum du rôle Subscriber peut exploiter la requête insuffisamment préparée pour extraire…
Source : NVD — CVE-2026-103914
weDocs : XSS stockée dans l’attribut modalPlaceholder
weDocs pour WordPress présente une XSS stockée via l’attribut de bloc « modalPlaceholder », dans les versions jusqu’à 2.6.1 incluse. Un contributeur peut enregistrer une publication en attente contenant la charge ; le script s’exécute si u…
Source : NVD — CVE-2026-104760
XSS stockée dans Falang multilanguage
CVE-2026-118047 est une XSS stockée dans Falang multilanguage, versions jusqu’à 1.4.6 incluses; un compte abonné ou supérieur peut l’exploiter. La fiche indique aussi qu’un nonce nécessaire est accessible à tout utilisateur connecté via un…
Source : NVD — CVE-2026-118047
XSS stockée dans Football Pool
CVE-2026-118050 est une XSS stockée dans Football Pool, versions jusqu’à 2.13.5 incluses, exploitable par un utilisateur authentifié ayant au moins le rôle d’abonné. D’après les données fournies, l’exécution se produit dans la vue d’éditio…
Source : NVD — CVE-2026-118050
XSS stockée dans Image Hover Effects Ultimate
CVE-2026-118056 est une XSS stockée dans Image Hover Effects Ultimate, versions jusqu’à 9.12.2 incluses. Elle requiert que le réglage « Who can edit » soit configuré sur Subscriber, ce qui permet à un utilisateur connecté d’altérer des sty…
Source : NVD — CVE-2026-118056
XSS stockée dans Real Testimonials (CVE-2026-120509)
Le plugin Real Testimonials jusqu’à la version 4.1.0 incluse présente une XSS stockée via le paramètre `tpro_client_name`, exploitable sans authentification si un administrateur publie le témoignage, déclenche l’aperçu AJAX puis enregistre…
Source : NVD — CVE-2026-120509
XSS stockée dans Real Testimonials (CVE-2026-120683)
Le plugin Real Testimonials jusqu’à la version 4.1.0 incluse présente une XSS stockée via le paramètre `tpro_client_testimonial`, après approbation du témoignage par un administrateur. La page cible doit également charger le runtime WordPr…
Source : NVD — CVE-2026-120683
XSS stockée dans Real Testimonials (CVE-2026-120685)
Le plugin Real Testimonials jusqu’à la version 4.1.0 incluse présente une XSS stockée impliquant le paramètre d’image JPEG IPTC caption et le shortcode `[gallery]` du témoignage. L’exploitation requiert l’approbation du témoignage et que l…
Source : NVD — CVE-2026-120685
Modula : XSS stockée via les liens des éléments de galerie
Le plugin Modula pour WordPress présente une XSS stockée exploitable par un utilisateur authentifié ayant au moins le rôle Auteur. Une valeur de lien contrôlée peut contenir un schéma javascript: et déclencher un script lorsqu’un visiteur…
Source : NVD — CVE-2026-121976
XSS stockée dans JetFormBuilder (CVE-2026-121977)
JetFormBuilder jusqu’à la version 3.6.8 incluse présente une XSS stockée liée au champ `note` d’un formulaire. L’exploitation est possible sans authentification, mais nécessite qu’un utilisateur privilégié disposant de `edit_others_posts`…
Source : NVD — CVE-2026-121977
XSS DOM stockée dans WP ImageViewer (CVE-2026-122059)
WP ImageViewer jusqu’à la version 3.0.2 incluse présente une XSS DOM stockée via le paramètre `img.alt`. L’exploitation requiert un compte authentifié et, selon le scénario, un plugin de contenu frontal tel que bbPress ou des droits permet…
Source : NVD — CVE-2026-122059
XSS stockée dans Image Hover Effects Ultimate Visual Composer
Image Hover Effects Ultimate Visual Composer est vulnérable à une XSS stockée via le champ d’attribut alternatif d’image dans les versions jusqu’à 3.1.1 incluse. L’exploitation dépend de capacités attribuées par l’administrateur ou d’une i…
Source : NVD — CVE-2026-109973
Contrôle d’accès insuffisant dans Premium Blocks
Premium Blocks – Gutenberg Blocks for WordPress présente une vulnérabilité de contrôle d’accès insuffisant dans les versions jusqu’à 2.3.18 incluse. La fiche NVD la classe de gravité moyenne (CVSS 5.3), sans fournir ici de détail sur l’act…
Source : NVD — CVE-2026-123474
Autorisation manquante dans Meta Box
Meta Box – WordPress Custom Fields Framework présente une vulnérabilité d’autorisation manquante dans les versions jusqu’à 5.15.3 incluse. NVD indique une gravité moyenne (CVSS 6.5), mais les informations fournies ne détaillent pas l’actio…
Source : NVD — CVE-2026-120836
XSS stockée dans Meta Box
Meta Box – WordPress Custom Fields Framework présente une XSS stockée dans les versions jusqu’à 5.15.3 incluse. La fiche NVD indique une gravité moyenne (CVSS 6.5), sans précision fournie sur le vecteur d’entrée, les prérequis ou la versio…
Source : NVD — CVE-2026-123472
Modification non authentifiée de champs de profil via Fluent Support
Une faille de Fluent Support permet à un visiteur non authentifié de modifier certains champs du profil d’un client WordPress existant en envoyant une soumission de formulaire public reliée à une intégration Fluent Support. L’exposition dé…
Source : NVD — CVE-2026-119213
XSS stockée dans Live Composer
Live Composer ne neutralise pas correctement certains paramètres de slug de types de contenu personnalisés avant leur insertion dans des liens de l’interface publique, ce qui permet une XSS stockée. Le problème concerne les versions antéri…
Source : NVD — CVE-2025-15708
Directorist : publication possible de fiches d’un autre utilisateur
Un utilisateur authentifié peut publier et mettre en avant une fiche en attente appartenant à quelqu’un d’autre si les frais de mise en avant sont configurés à zéro. Directorist est concerné avant la version 8.11 ; mettez le plugin à jour…
Source : NVD — CVE-2026-118529
Advanced Custom Fields : divulgation d’informations sur des publications non publiques
CVE-2026-97189 concerne Advanced Custom Fields (ACF) : avant la version 6.8.11, le rendu des champs relationnels ne vérifiait pas les permissions de lecture des contenus associés. Des utilisateurs ayant des droits de modification de public…
Source : NVD — CVE-2026-97189
ACF : contrôle insuffisant des droits lors de la synchronisation des relations
La synchronisation bidirectionnelle des relations dans Advanced Custom Fields (ACF) pouvait permettre à un utilisateur ayant le rôle contributeur ou supérieur d’ajouter ou retirer une référence sur des contenus, utilisateurs ou termes qu’i…
Source : NVD — CVE-2026-97190
ACF : contournement des règles d’emplacement des champs personnalisés
Dans Advanced Custom Fields (ACF), des utilisateurs ayant le rôle contributeur ou supérieur pouvaient enregistrer sur leurs propres articles des champs personnalisés réservés par le site aux administrateurs. Le problème touche les versions…
Source : NVD — CVE-2026-97191
Systèmes & serveurs
19 alerte(s)Linux : utilisation après libération dans le pilote ALSA Line 6
Une utilisation après libération dans le pilote ALSA Line 6 peut provoquer une lecture mémoire invalide lorsque la lecture audio reprend après la fermeture des flux de capture. Le correctif efface le pointeur et la taille du tampon de capt…
Source : NVD — CVE-2026-99271
Linux : validation insuffisante des réponses SMB2_READ
Le client SMB du noyau ne vérifiait pas que les données d’une réponse SMB2_READ se trouvaient entièrement dans la réponse reçue. Un serveur SMB malveillant pouvait ainsi provoquer une lecture hors limites lors du traitement de certaines le…
Source : NVD — CVE-2026-99272
Linux : dépassement de tampon dans les informations de flux ksmbd
Dans ksmbd, l’espace réservé aux informations de flux ne tenait pas compte du terminateur UTF-16 ajouté par la conversion. Une entrée remplissant exactement le petit tampon de réponse pouvait provoquer une écriture de deux octets au-delà d…
Source : NVD — CVE-2026-99273
Linux : lecture invalide dans le traitement SMB des plages allouées
Le client SMB pouvait traiter comme valide une réponse tronquée vide à une requête de plages allouées, puis lire avant un pointeur nul lors du calcul de l’offset de reprise. Le correctif rejette les réponses sans plage et renforce les cont…
Source : NVD — CVE-2026-99274
Linux : réponse SESSION_SETUP trop courte acceptée par le client SMB
Le client SMB acceptait certaines réponses SESSION_SETUP trop courtes et pouvait lire des champs dans des données résiduelles du tampon de réception. Une longueur non validée pouvait ensuite conduire à une lecture hors limites et à la retr…
Source : NVD — CVE-2026-99275
Linux : éviter un interblocage lors du nettoyage des connexions ksmbd
Une interblocage entre le worker d’expiration ksmbd et les verrous de session pouvait empêcher le nettoyage des connexions. Le correctif évite d’attendre ces verrous pendant le contrôle et permet au worker de réessayer ultérieurement.
Source : NVD — CVE-2026-99276
Linux : conserver les connexions référencées par les canaux de session ksmbd
La suppression d’une session ksmbd pouvait laisser ses canaux référencer une connexion libérée, notamment lors d’une liaison SMB3.1.1 ou d’une lecture procfs. Le correctif conserve une référence à la connexion pour chaque canal et la libèr…
Source : NVD — CVE-2026-99277
Linux : limiter les sessions ksmbd par connexion
ksmbd pouvait accumuler un nombre non borné de sessions authentifiées sur une connexion, car la limite ne comptait que les sessions en attente. Le correctif réserve et restitue des emplacements de session selon leur cycle de vie et ajoute…
Source : NVD — CVE-2026-99278
Linux : récupérer les sessions ksmbd terminées
Les sessions ksmbd terminées pouvaient rester en mémoire et retenir des emplacements de connexion lorsque aucune nouvelle demande de configuration n’arrivait. Le correctif récupère ces sessions expirées dans le worker périodique, tout en p…
Source : NVD — CVE-2026-99279
Linux : drainer les lecteurs procfs avant de libérer les sessions ksmbd
Une entrée procfs de session ksmbd pouvait encore être lue après la libération de la référence de table, avec un risque d’attente indéfinie lors de la suppression de cette entrée depuis son propre callback. Le correctif draine les lecteurs…
Source : NVD — CVE-2026-99280
Linux : exiger CAP_NET_ADMIN pour rejoindre un appareil TUN/TAP sans propriétaire
Un appareil TUN/TAP persistant sans propriétaire ni groupe pouvait être rejoint sans CAP_NET_ADMIN par un processus ayant accès au nœud de périphérique. Le correctif exige cette capacité dans ce cas, tout en conservant l’autorisation par p…
Source : NVD — CVE-2026-99281
Linux : corriger une utilisation après libération dans sch_teql
Dans sch_teql, un retour d’erreur indiquant que le paquet avait déjà été consommé pouvait conduire à réutiliser un skb libéré après un rejet par la qdisc inférieure. Le correctif utilise dev_xmit_complete() pour distinguer les paquets cons…
Source : NVD — CVE-2026-99282
Linux : corriger le délai conntrack des RST non fermants
Un paquet RST non exact qui laissait le suivi conntrack à l’état ESTABLISHED pouvait néanmoins déclencher le délai d’expiration court réservé à la fermeture. Le correctif utilise le délai UNACK dans ce cas, sans modifier le traitement des…
Source : NVD — CVE-2026-99283
Linux : propager le marqueur de fragments partagés dans skb_zerocopy()
skb_zerocopy() ne copiait pas le marqueur signalant des fragments partagés, ce qui pouvait permettre à ESP d’écrire en place dans des pages du cache de fichiers. Le correctif propage le marqueur SKBFL_SHARED_FRAG lors du transfert des desc…
Source : NVD — CVE-2026-99284
DSA-6615-1 : mise à jour de sécurité de LibreOffice
Debian a publié une mise à jour de sécurité de LibreOffice après la découverte d’un dépassement de tampon lors du traitement de fichiers de base de données dBASE. La faille pourrait permettre l’exécution de code arbitraire ; l’avis fourni…
DSA-6614-1 : mise à jour de sécurité de ruby3.3
Debian a publié un avis de sécurité pour ruby3.3 signalant plusieurs vulnérabilités de l’interpréteur Ruby. Selon l’avis fourni, elles peuvent provoquer une injection de commandes IMAP, un déni de service, une divulgation d’informations ou…
Source : DSA-6614-1 ruby3.3 – security update
DSA-6613-1 : mise à jour de sécurité de zlib
Debian a publié un avis de sécurité concernant plusieurs vulnérabilités de la bibliothèque de compression zlib. Le traitement d’entrées spécialement conçues pourrait provoquer un déni de service ou potentiellement permettre l’exécution de…
Source : DSA-6613-1 zlib – security update
Debian corrige un dépassement de tampon dans cjose lors du déchiffrement de JWE
Dans cjose, la vérification insuffisante de la longueur de la clé lors du déchiffrement de JWE avec A128KW, A192KW ou A256KW permet à un attaquant distant de provoquer un dépassement de tampon sur le tas et de faire planter l’application.…
Source : DLA-4887-1 cjose – security update
Debian corrige une génération de clé défectueuse dans cjose
Dans cjose, le chiffrement de JWE avec A128CBC-HS256, A192CBC-HS384 ou A256CBC-HS512 pouvait produire une clé de contenu composée d’octets nuls lorsque l’algorithme de gestion de clé générait une nouvelle clé. Un détenteur du jeton peut al…
Source : DLA-4887-1 cjose – security update