Le journal DFS
CMS & e-commerce
-
WordPress — WP YouTube Lyte : XSS persistante dans les blocs vidéo
P4 · CVE-2026-96895 — WP YouTube Lyte n’échappe pas certains attributs des blocs d’intégration YouTube lors de leur rendu. Un utilisateur disposant au minimum du rôle…
-
WooCommerce — Mailchimp : divulgation des paniers sauvegardés
P4 · CVE-2026-92436 — Mailchimp for WooCommerce charge un panier sauvegardé depuis un identifiant dérivé de l’adresse électronique du client, sans authentification ni contrôle de propriété.…
-
WordPress — PowerPress : XSS persistante dans le lecteur de podcasts
P4 · CVE-2026-97319 — PowerPress ne nettoie ni n’échappe correctement un attribut de bloc avant son affichage. Un utilisateur disposant du rôle contributeur ou supérieur peut…
-
WordPress — UpdraftPlus : divulgation des secrets de stockage après migration
P4 · CVE-2026-82841 — Lorsqu’un site reste dans un état particulier après migration, UpdraftPlus affiche ses paramètres de stockage distant sans vérifier les capacités de l’utilisateur.…
-
WordPress — Optima Express IDX : création de compte auteur sans authentification
P4 · CVE-2026-96897 — Une action AJAX accessible aux visiteurs déconnectés ne comporte aucun contrôle d’autorisation. Un attaquant peut forcer la création d’un compte prédéfini doté…
-
WordPress — Ad Inserter : exécution de code depuis un compte abonné
P4 · CVE-2026-81655 — Dans une configuration autorisée par ses propres réglages, Ad Inserter expose une page de paramètres à tout utilisateur connecté sans filtrer le…
-
WordPress — Malcure Malware Shield : écriture et suppression arbitraires en multisite
P4 · CVE-2026-96896 — Une action AJAX de Malcure Malware Shield ne vérifie pas les autorisations nécessaires. Un administrateur de sous-site WordPress multisite peut écrire ou…
-
Joomla — Event Gallery : CSRF sur les actions du panier
P4 · Moyenne · CVE-2026-100748 — Plusieurs actions du panier d’Event Gallery sont exposées à une falsification de requête intersite. Le CNA Joomla classe cette faille…
-
Joomla — Event Gallery : XSS réfléchie et redirection ouverte
P4 · Moyenne · CVE-2026-97165 — Event Gallery décode le paramètre return en base64 puis l’insère dans le lien de retour sans validation. Une URL piégée…
-
Joomla — Event Gallery : CSRF sur le nettoyage administratif
P4 · Moyenne · CVE-2026-100749 — Les actions de nettoyage de l’administration d’Event Gallery sont vulnérables à une falsification de requête intersite. La suppression concerne les…