Le journal DFS
CMS & e-commerce
-
Joomla — Event Gallery : suppression arbitraire de répertoires
P3 · Élevée · CVE-2026-97164 — La tâche de nettoyage du cache d’Event Gallery accepte un chemin insuffisamment contrôlé dans le paramètre images. Un utilisateur authentifié…
-
Joomla — Event Gallery : CSRF sur le téléversement d’images
P4 · Moyenne · CVE-2026-100747 — Le téléversement d’images d’Event Gallery ne vérifie pas de jeton anti-CSRF. Un site tiers peut provoquer l’ajout de fichiers dans…
-
WordPress — Download Manager Pro : XSS persistante sans authentification
P4 · CVE-2026-86609 — Le formulaire d’inscription aux téléchargements verrouillés par courriel ne neutralise pas les données ensuite affichées dans l’administration. Un attaquant non authentifié peut…
-
CVE-2026-92411 — XSS stocké dans WP Delicious
P4 · CVE-2026-92411 — WP Delicious avant 1.10.8 ne valide ni n’échappe le nom de balise HTML provenant de données de blocs de recette contrôlées par…
-
CVE-2026-16591 — XSS stocké dans WP Directory Kit
P4 · CVE-2026-16591 — WP Directory Kit avant 1.5.8 n’échappe pas correctement certains champs de catégorie et d’emplacement lorsqu’ils sont affichés dans des attributs de page.…
-
Débordement de tampon critique dans Ghostscript utilisé par certaines chaînes WordPress de traitement PDF
P3 · Critique · CVE-2026-39919 — Une vulnérabilité de débordement de tampon dans Ghostscript peut être déclenchée par un PDF spécialement conçu contenant une image JPEG…
-
CVE-2026-83555 : désabonnement forcé dans Email Subscribers & Newsletters
P4 · Moyenne · CVE-2026-83555 — Email Subscribers & Newsletters avant 5.9.35 permet de forcer la confirmation ou le désabonnement d’un abonné arbitraire dont l’adresse e-mail…
-
CVE-2026-81338 : injection HTML stockée dans MasterStudy LMS
P4 · Moyenne · CVE-2026-81338 — MasterStudy LMS avant 3.7.50 permet à un utilisateur Subscriber ou supérieur d’injecter du HTML stocké dans du contenu soumis.
-
CVE-2026-81339 : résultats de quiz d’autres étudiants exposés dans MasterStudy LMS
P4 · Moyenne · CVE-2026-81339 — MasterStudy LMS avant 3.7.50 permet à un utilisateur authentifié de lire les résultats de quiz d’autres étudiants.
-
CVE-2026-86602 : recettes non publiées accessibles dans WP Recipe Maker
P4 · Moyenne · CVE-2026-86602 — WP Recipe Maker avant 10.8.2 permet à tout utilisateur authentifié, y compris Subscriber, de lire le contenu complet de recettes…