Le journal DFS
CMS & e-commerce
-
TinyMCE Thumbnail Gallery : traversée de répertoires et lecture de fichiers
P2 · Élevée · CVE-2012-20002 — TinyMCE Thumbnail Gallery contient une traversée de répertoires dans les versions antérieures à 1.1.0, susceptible de permettre la lecture de…
-
Smush : un administrateur de site peut modifier un paramètre réseau global
P4 · Faible · CVE-2026-110039 — Smush avant la version 4.3.4 ne réserve pas aux administrateurs réseau la modification d’un paramètre d’accès à l’échelle du réseau.…
-
WP Mail Logging : exposition de courriels journalisés via l’export de données personnelles
P4 · Faible · CVE-2026-109401 — Le plugin WP Mail Logging pour WordPress jusqu’à la version 1.17.0 expose des lignes de courriels journalisés lorsque le flux…
-
Product Delivery Date for WooCommerce : divulgation de détails de commande
P4 · Faible · CVE-2026-110191 — Product Delivery Date for WooCommerce avant la version 3.3.2 ne vérifie pas les capacités avant de divulguer des informations de…
-
XSS stockée dans GeoDirectory via le contenu d’une annonce
P4 · Moyenne · CVE-2026-110703 — GeoDirectory contient une XSS stockée via le paramètre `post_content`, exploitable par un utilisateur authentifié disposant au minimum du rôle Subscriber…
-
XSS stockée dans Events Made Easy
P4 · Moyenne · CVE-2026-107649 — Events Made Easy présente une XSS stockée via `event[location_name]`, réalisable sans authentification lorsque la soumission d’événements par les invités et…
-
XSS stockée dans Tutor LMS via display_name
P4 · Moyenne · CVE-2026-93681 — Tutor LMS contient une XSS stockée via le paramètre `display_name`, exploitable par un utilisateur authentifié disposant au minimum du rôle…
-
Name Directory : XSS persistante via l’attribut dir d’un shortcode
P4 · Moyenne · CVE-2026-104726 — Le plugin Name Directory pour WordPress présente une faille XSS persistante via l’attribut dir d’un shortcode. Un attaquant authentifié avec…
-
ProfilePress : exécution arbitraire de shortcodes via les commentaires
P4 · Moyenne · CVE-2026-104003 — Le plugin WP User Avatar / ProfilePress pour WordPress permet l’exécution de shortcodes arbitraires dans l’onglet Commentaires du profil public.…
-
Contrôle d’accès manquant dans une action AJAX de Squeeze
P4 · Moyenne · CVE-2026-110029 — Le plugin Squeeze ne vérifie pas les capacités de l’utilisateur sur une action AJAX, permettant à un utilisateur authentifié ayant…