Le journal DFS
Sécurité
-
WordPress — Ad Inserter : exécution de code depuis un compte abonné
P4 · CVE-2026-81655 — Dans une configuration autorisée par ses propres réglages, Ad Inserter expose une page de paramètres à tout utilisateur connecté sans filtrer le…
-
WordPress — Malcure Malware Shield : écriture et suppression arbitraires en multisite
P4 · CVE-2026-96896 — Une action AJAX de Malcure Malware Shield ne vérifie pas les autorisations nécessaires. Un administrateur de sous-site WordPress multisite peut écrire ou…
-
Joomla — Event Gallery : CSRF sur les actions du panier
P4 · Moyenne · CVE-2026-100748 — Plusieurs actions du panier d’Event Gallery sont exposées à une falsification de requête intersite. Le CNA Joomla classe cette faille…
-
Joomla — Event Gallery : XSS réfléchie et redirection ouverte
P4 · Moyenne · CVE-2026-97165 — Event Gallery décode le paramètre return en base64 puis l’insère dans le lien de retour sans validation. Une URL piégée…
-
Joomla — Event Gallery : CSRF sur le nettoyage administratif
P4 · Moyenne · CVE-2026-100749 — Les actions de nettoyage de l’administration d’Event Gallery sont vulnérables à une falsification de requête intersite. La suppression concerne les…
-
Joomla — Event Gallery : suppression arbitraire de répertoires
P3 · Élevée · CVE-2026-97164 — La tâche de nettoyage du cache d’Event Gallery accepte un chemin insuffisamment contrôlé dans le paramètre images. Un utilisateur authentifié…
-
Joomla — Event Gallery : CSRF sur le téléversement d’images
P4 · Moyenne · CVE-2026-100747 — Le téléversement d’images d’Event Gallery ne vérifie pas de jeton anti-CSRF. Un site tiers peut provoquer l’ajout de fichiers dans…
-
WordPress — Download Manager Pro : XSS persistante sans authentification
P4 · CVE-2026-86609 — Le formulaire d’inscription aux téléchargements verrouillés par courriel ne neutralise pas les données ensuite affichées dans l’administration. Un attaquant non authentifié peut…
-
CVE-2026-92411 — XSS stocké dans WP Delicious
P4 · CVE-2026-92411 — WP Delicious avant 1.10.8 ne valide ni n’échappe le nom de balise HTML provenant de données de blocs de recette contrôlées par…
-
CVE-2026-16591 — XSS stocké dans WP Directory Kit
P4 · CVE-2026-16591 — WP Directory Kit avant 1.5.8 n’échappe pas correctement certains champs de catégorie et d’emplacement lorsqu’ils sont affichés dans des attributs de page.…