Le journal DFS
Sécurité
-
Post Voting System : injection SQL par un utilisateur authentifié
P4 · Moyenne · CVE-2026-89303 — Post Voting System ne nettoie ni n’échappe correctement un paramètre avant son emploi dans une requête SQL. Tout utilisateur authentifié…
-
WP Verify API : route REST accessible sans authentification
P4 · Moyenne · CVE-2026-89300 — WP Verify API expose une route REST sans contrôle d’autorisation permettant à un utilisateur non authentifié d’insérer des données dans…
-
Bookly : réservation gratuite possible par manipulation de la quantité
P4 · Moyenne · CVE-2026-86838 — Bookly ne valide pas côté serveur la quantité de réservation fournie par le client avant de calculer le prix du…
-
WPForms Lite : exécution de shortcodes et exposition de détails de pièces jointes
P4 · Moyenne · CVE-2026-84744 — WPForms Lite ne retire pas les délimiteurs de shortcodes de certaines valeurs soumises avant de les réafficher dans le formulaire.…
-
DOMSanitizer — filtrage incomplet des URL data encodées
P4 · Moyenne · CVE-2026-100370 — DOMSanitizer, bibliothèque de nettoyage DOM/SVG/MathML pour PHP, peut laisser passer des URL data dans les attributs href et xlink:href lorsque…
-
Webhook Git de Fleet accepte des requêtes non authentifiées sans secret configuré
P4 · Moyenne · CVE-2026-93539 — Lorsque aucun secret de webhook n’est configuré, le service webhook Git de Fleet accepte des requêtes sans vérification; un appelant…
-
Lecture de fichiers et divulgation de données dans Rancher Fleet
P4 · Moyenne · CVE-2026-93537 — Une vulnérabilité de Fleet permet à un utilisateur pouvant fournir le contenu d’un dépôt référencé par une ressource GitRepo de…
-
Blacklist Manager for WooCommerce : contournement du blocage à l’authentification
P4 · Moyenne · CVE-2026-88828 — Blacklist Manager for WooCommerce n’applique pas le blocage d’un utilisateur à tous les parcours d’authentification. Le titulaire d’un compte bloqué…
-
CVE-2026-101099 — gestion de conditions exceptionnelles dans le parseur SSE du SDK Kotlin ag-ui
P4 · Moyenne · CVE-2026-101099 — CVE-2026-101099 concerne le parseur SSE `SseParser.kt` du Kotlin Community SDK du projet ag-ui-protocol/ag-ui : une entrée distante peut provoquer une…
-
Modules Anywhere Pro : lecture de fichiers locaux et SSRF via remplacement de paramètres
P3 · Élevée · CVE-2026-100750 — Modules Anywhere Pro permettait à des attributs de balise de remplacer des paramètres de module sans vérifier l’auteur du contenu,…