CMS & e-commerce

P4 · CVE-2026-90966 — La faille permet à un client inscrit d’activer sans paiement un forfait payant, car une action AJAX ne vérifie pas que le…

P4 · CVE-2026-105259 — Easy Social Icons autorise le téléversement de SVG sans les assainir, ce qui peut permettre une XSS via un fichier malveillant. Les…

P4 · CVE-2026-100144 — IVPAY payments accepte une clé API vide et ne nettoie pas une valeur de rappel de paiement utilisée dans une requête SQL,…

P4 · CVE-2025-15702 — Cloud Blocks n’effectue pas de contrôle d’autorisation ni d’assainissement lors de l’enregistrement des URL d’actifs de blocs, permettant le stockage de scripts…

P4 · CVE-2025-15701 — Easy Social Icons ne nettoie pas et n’échappe pas certains réglages avant leur affichage, ce qui peut conduire à une XSS stockée…

P4 · CVE-2026-85346 — FV Flowplayer Video Player avant la version 7.5.56.7212 ne vérifie ni les autorisations ni les jetons CSRF sur plusieurs gestionnaires de navigation…

P4 · CVE-2026-19256 — All In One Login avant la version 2.5.0 limite insuffisamment les tentatives de deviner le court code numérique utilisé pour la connexion…

P4 · CVE-2026-16304 — WP Event Manager avant la version 3.4.2 ne valide pas correctement la propriété ni le type des identifiants de publications traités par…

P4 · CVE-2026-107787 — CatFolders avant la version 2.5.7 ne vérifie pas les autorisations sur une action de maintenance des dossiers. Un utilisateur ayant un rôle…