Le journal DFS
CMS & e-commerce
-
CVE-2026-92541 : promotion arbitraire d’utilisateurs via l’import frontal WordPress
P3 · Élevée · CVE-2026-92541 — La fonction d’import en frontal de Import and export users and customers ne contrôle pas la capacité promote_users.
-
CVE-2026-87839 : suppression non authentifiée de commentaires dans Tripzzy
P3 · Élevée · CVE-2026-87839 — Une action AJAX publique de Tripzzy ne comporte pas de contrôle d’autorisation et ne valide pas l’identifiant de l’objet supprimé.
-
CVE-2026-88855 : injection SQL privilégiée dans OrdaSoft Joomla Gallery avant 6.2.7
P3 · Élevée · CVE-2026-88855 — OrdaSoft Joomla Gallery contient une injection SQL exploitables par un utilisateur authentifié disposant de la permission core.manage sur le composant,…
-
CVE-2026-92540 : élévation en administrateur à l’import CSV dans Import and export users and customers
P3 · Élevée · CVE-2026-92540 — Le plugin Import and export users and customers n’applique pas correctement la capacité promote_users lors de l’assignation de rôles au…
-
WordPress : écriture de fichiers, atteintes à l’intégrité et fuite de métadonnées dans Photo Gallery, Sliders, Proofing and
P3 · Élevée · CVE-2026-81650, CVE-2026-81651 — Plusieurs défauts de contrôle d’accès et de validation affectent ce plugin de galerie : écriture de fichiers via archive,…
-
WordPress : usurpation de compte via SAML Single Sign On
P3 · Élevée · CVE-2026-82842 — Le plugin WordPress SAML Single Sign On antérieur à 6.0.0 ignore le critère configuré pour associer une identité SSO entrante…
-
WordPress : désérialisation d’objets via AJAX dans Unlimited Elements For Elementor
P3 · Élevée · CVE-2026-85017 — Unlimited Elements For Elementor désérialise des données stockées contrôlées par l’attaquant dans une action AJAX insuffisamment protégée par un contrôle…
-
WordPress : désérialisation dangereuse et élévation de privilèges dans Forminator Forms
P3 · Élevée · CVE-2026-87067, CVE-2026-87068 — Forminator Forms expose une désérialisation insuffisamment restreinte via XML-RPC et permet aussi de contourner la validation de rôle dans…
-
WordPress : modification et suppression non authentifiées de données de réservation dans Tripzzy
P3 · Élevée · CVE-2026-87839, CVE-2026-87840 — Tripzzy expose des actions AJAX accessibles sans authentification permettant de supprimer des commentaires et de modifier des réservations arbitraires.
-
WordPress : élévation de privilèges lors d’imports CSV dans Import and export users and customers
P3 · Élevée · CVE-2026-92540, CVE-2026-92541 — Le plugin d’import/export d’utilisateurs et clients permet à des comptes disposant seulement de create_users d’attribuer ou modifier des rôles…