Le journal DFS
Sécurité
-
music-metadata : épuisement mémoire par taille de tag ID3v2 non validée
P4 · Moyenne · CVE-2026-107388 — Le parseur ID3v2 de `music-metadata` utilise la taille déclarée du tag pour allouer un tampon sans vérifier qu’elle correspond aux…
-
Easy Digital Downloads : création de comptes malgré les inscriptions désactivées
P4 · Moyenne · CVE-2026-105190 — Easy Digital Downloads avant 3.7.1 peut créer un compte WordPress sans tenir compte du réglage qui désactive les inscriptions. Un…
-
TutorStarter : création de comptes malgré la désactivation des inscriptions
P4 · Moyenne · CVE-2026-104671 — Le thème TutorStarter avant 4.0.4 ne respecte pas le réglage du site qui désactive l’inscription des utilisateurs dans l’un de…
-
Airwallex Online Payments Gateway : falsification de notifications de paiement
P4 · Moyenne · CVE-2026-103517 — Airwallex Online Payments Gateway avant 1.36.0 ne vérifie pas l’authenticité des notifications de paiement lorsque aucun secret de webhook n’est…
-
BackWPup : écriture de fichiers hors du répertoire de restauration
P4 · Moyenne · CVE-2026-86828 — Dans BackWPup avant 5.7.7, une restauration utilisant la bibliothèque d’archives de secours peut extraire des fichiers hors du répertoire prévu.…
-
BackWPup : déclenchement non autorisé de tâches de sauvegarde
P4 · Moyenne · CVE-2026-86827 — Avant la version 5.7.7, BackWPup ne vérifie pas que les requêtes adressées au gestionnaire d’exécution des sauvegardes proviennent du déclenchement…
-
BackWPup : accès web à des archives de sauvegarde de restauration
P4 · Moyenne · CVE-2026-86826 — Avant la version 5.7.7, BackWPup ne protège pas correctement contre l’accès web au répertoire de travail utilisé lors de la…
-
Database Addon For WPForms : suppression d’entrées par CSRF
P4 · Moyenne · CVE-2026-105260 — Avant la version 1.1.1, Database Addon For WPForms n’effectue pas la vérification attendue du nonce CSRF lorsque celui-ci est omis…
-
Appointment Booking Plugin : divulgation de confirmations de commande
P4 · Moyenne · CVE-2026-105198 — Avant la version 5.7.3, Appointment Booking Plugin ne vérifie pas que l’appelant est propriétaire de la commande associée à l’identifiant…
-
Easy Digital Downloads : exposition de commandes et de liens de téléchargement
P4 · Moyenne · CVE-2026-105194 — Avant la version 3.7.1, Easy Digital Downloads ne limite pas les données de commande fournies par un bloc aux commandes…