Le journal DFS
CMS & e-commerce
-
CVE-2026-92422 : exécution de shortcodes et fuite de galeries privées via Meow Gallery
P3 · Moyenne · CVE-2026-92422 — Meow Gallery concatène une valeur utilisateur insuffisamment assainie dans une chaîne de shortcode traitée par WordPress depuis un endpoint public.
-
CVE-2026-84223 — SVG non assaini dans le plugin WordPress Kirki avant 6.3.1
P4 · Moyenne · CVE-2026-84223 — Le plugin WordPress Kirki, avant la version 6.3.1, rend les SVG téléversables à l’échelle du site sans les assainir correctement.…
-
CVE-2026-87068 : création de comptes administrateur via des quiz Forminator importés
P3 · Moyenne · CVE-2026-87068 — Forminator n’applique pas la validation de rôle habituelle lorsqu’un formulaire d’inscription est imbriqué dans un quiz importé.
-
CVE-2026-87840 : modification non authentifiée de réservations Tripzzy
P3 · Moyenne · CVE-2026-87840 — Les actions de gestion de réservations de Tripzzy ne réalisent pas les contrôles de capacité ou de propriété requis et…
-
WordPress : exécution de shortcodes et fuite de brouillons privés dans Meow Gallery
P3 · Moyenne · CVE-2026-92422, CVE-2026-92423 — Meow Gallery permet l’exécution de shortcodes via un endpoint public et divulgue à des auteurs ou rôles supérieurs des…
-
CVE-2026-85010 : manipulation du prix des commandes dans RestroPress pour WordPress
P3 · Moyenne · CVE-2026-85010 — RestroPress avant 3.4.6 accepte un prix d’option de produit fourni par le client sans le recalculer ni le valider côté…
-
CVE-2026-85113 : exécution de shortcodes non authentifiée dans GiveWP pour WordPress
P3 · Moyenne · CVE-2026-85113 — GiveWP avant 4.16.9 autorise des visiteurs non authentifiés à provoquer l’exécution de shortcodes WordPress arbitraires à partir de valeurs fournies…
-
CVE-2026-92400 : validation insuffisante des notifications PayPal dans Payment Gateway for PayPal on WooCommerce
P3 · Moyenne · CVE-2026-92400 — Payment Gateway for PayPal on WooCommerce avant 9.2.1 peut marquer une commande comme payée à partir d’une notification non confirmée…
-
CVE-2026-81650 : exécution de code par archive téléversée dans Photo Gallery, Sliders, Proofing
P3 · Élevée · CVE-2026-81650 — Le plugin Photo Gallery, Sliders, Proofing and ne valide pas correctement les extensions de fichiers extraits d’une archive téléversée.
-
CVE-2026-87067 : écriture de fichier et exécution de code via XML-RPC dans Forminator
P3 · Élevée · CVE-2026-87067 — Forminator ne restreint pas les classes instanciables lors de la désérialisation d’une valeur issue d’une requête XML-RPC.