Le journal DFS
CMS & e-commerce
-
Ghost : contournement d’authentification lors de l’acceptation d’invitations du personnel
P4 · Moyenne · CVE-2026-103267 — La validation d’une invitation de membre du personnel peut accepter une adresse électronique fournie par l’utilisateur plutôt que celle attendue.…
-
WP Popular Posts : divulgation d’informations de contenus non publics
P4 · Moyenne · CVE-2026-92548 — WP Popular Posts jusqu’à la version 7.4.2 expose des champs sensibles de contenus non publics lorsque des requêtes REST utilisent…
-
Simply Schedule Appointments : divulgation des données et jetons de réservations groupées
P4 · Moyenne · CVE-2026-91109 — Simply Schedule Appointments jusqu’à la version 1.6.12.31 incluse permet à un utilisateur authentifié disposant d’un jeton valide pour une réservation…
-
Newsletter for WordPress : exposition du jeton d’authentification d’un abonné
P4 · Moyenne · CVE-2026-92537 — Newsletter for WordPress versions up to and including 9.3.9 exposes a subscriber’s permanent authentication cookie when a signed click-tracking URL…
-
Contournement d’autorisation et suppression de médias dans Redux Framework
P4 · Moyenne · CVE-2026-88999 — Redux Framework pour WordPress jusqu’à la version 4.5.14 incluse vérifie insuffisamment les autorisations sur une action permettant de supprimer des…
-
Advanced Woo Labels : création non autorisée d’étiquettes mal échappées
P4 · Moyenne · CVE-2026-12241 — Advanced Woo Labels jusqu’à la version 2.51 présente un contrôle de capacité insuffisant dans save_meta_boxes, permettant à des utilisateurs authentifiés…
-
Cache Enabler : suppression de fichiers hors du répertoire de cache
P3 · Élevée · CVE-2026-19253 — Cache Enabler avant la version 1.8.17 ne valide pas une URL utilisée pour construire un chemin de système de fichiers…
-
Featured Image from URL : contournement du contrôle nonce REST et CSRF
P3 · Élevée · CVE-2026-101147 — Featured Image from URL et sa déclinaison Premium ne vérifient pas correctement le nonce REST lorsqu’une URL spécialement construite est…
-
Prime Mover : suppression de répertoires arbitraires lors d’un import
P3 · Élevée · CVE-2026-101889 — Prime Mover comporte une traversée de chemin lors de l’import d’un paquet WPRIME/TAR, permettant à un administrateur authentifié de supprimer…
-
Prime Mover : écriture de fichiers hors du répertoire d’extraction (Zip Slip)
P3 · Élevée · CVE-2026-101888 — Prime Mover présente une vulnérabilité Zip Slip lors de l’import de fichiers ZIP de migration : un administrateur authentifié peut…