Veille sécurité · page 2
Chaque alerte dit quel composant est touché, quelles versions, et comment s’en protéger. Rédigée à partir des avis publiés, relue avant publication.
WooCommerce
La NVD a publié le 29 octobre 2026 la CVE-2026-118085 : une faille XSS exploitable sans authentification dans l'extension GlobalPayments WooCommerce, notée 7,1. Aucune version corrigée n'est encore précisée. Voici qui est concerné et quoi faire.
30 octobre 2026 · 3 min
WordPress
Une injection d'objet PHP exploitable sans authentification, notée 9,8 sur 10, affecte l'extension WordPress GEO my WordPress. Aucune exploitation active n'est signalée à ce stade. Vérifiez vos sites et appliquez la mise à jour de l'extension dès qu'elle est disponible.
30 octobre 2026 · 3 min
WordPress
Une faille de traversée de répertoire dans le thème WordPress Javo Spot permet à un visiteur non authentifié de lire des fichiers du serveur, dont la configuration de WordPress. Elle est corrigée en version 3.0.0.
29 octobre 2026 · 3 min
WordPress
La CVE-2026-11905 touche l'extension Elementor pour WordPress dans toutes ses versions jusqu'à la 4.2.3 incluse. Un utilisateur connecté disposant au moins du rôle contributeur peut lire le contenu complet d'articles privés, de brouillons, d'articles en attente ou programmés, ainsi que leur mot de passe de protection en clair. Sévérité moyenne (CVSS 4,3), aucune exploitation active signalée à ce jour.
29 octobre 2026 · 3 min
WordPress
Une vulnérabilité critique (CVE-2026-107594, score CVSS 10) touche l'extension WordPress File Upload to Order avant la version 1.1.4 : un visiteur non authentifié peut supprimer des fichiers arbitraires sur le serveur, ce qui peut aboutir à la compromission complète du site. La version 1.1.4 corrige le problème.
29 octobre 2026 · 3 min
WordPress
Une faille d'élévation de privilèges (CVE-2026-104749, CVSS 7.5) touche l'extension WordPress Bit integrations jusqu'à la 2.10.6 incluse. Sous deux conditions cumulatives, un attaquant non authentifié peut remplacer le mot de passe d'un administrateur. La version corrigée n'est pas précisée par l'éditeur.
29 octobre 2026 · 3 min
WordPress
L'extension WordPress Bit integrations est touchée par une faille XSS stockée (CVE-2026-102007, CVSS 7.2) jusqu'à la version 2.10.6 incluse. Elle ne concerne que les sites ayant configuré un flux reliant le webhook Bit Assist à une notification BuddyBoss. Aucune version corrigée n'est précisée à la date de l'avis.
29 octobre 2026 · 3 min
WordPress
La fiche CVE-2026-108479 signale une faille CSRF dans l'extension Patreon WordPress, jusqu'à la version 1.9.17 incluse, avec un score CVSS de 8.1. Aucune version corrigée n'est précisée par l'éditeur : voici les sites concernés et les mesures à appliquer.
29 octobre 2026 · 3 min
WordPress
Une vulnérabilité de sévérité élevée (CVE-2026-115251) touche l'extension WordPress Duplicator avant la version 5.0.0 : sa routine de mise à niveau n'est pas correctement restreinte et permet, sur un réseau multisite, à un administrateur de sous-site d'installer et d'exécuter du code PHP. La version 5.0.0 corrige le problème.
29 octobre 2026 · 3 min
WordPress
Une faille CSRF de sévérité élevée (CVE-2026-110015, CVSS 8.8) touche l'extension WordPress Salon Booking System avant la 10.31.9. En piégeant un administrateur connecté, un attaquant peut aller jusqu'à créer un compte administrateur. Mettez à jour vers la 10.31.9.
29 octobre 2026 · 3 min
WordPress
Une faille XSS réfléchie (CVE-2026-108483, score CVSS 7.1) touche l'extension WordPress Hippoo Mobile App for WooCommerce jusqu'à la version 1.12.0. Aucune version corrigée n'est précisée par les sources : vérifiez vos sites et désactivez l'extension si elle n'est pas indispensable.
29 octobre 2026 · 3 min
WordPress
Une vulnérabilité critique (CVSS 9,8) touche l'extension WooCommerce Printcart Store (PCDesigner / NB Designer) jusqu'à la version 2.9.1 incluse : un visiteur non authentifié peut envoyer un fichier arbitraire sur le serveur et y exécuter du code. Voici qui est concerné et comment réagir.
29 octobre 2026 · 3 min