Veille sécurité

P4 · Moyenne · CVE-2026-86602 — WP Recipe Maker avant 10.8.2 permet à tout utilisateur authentifié, y compris Subscriber, de lire le contenu complet de recettes non publiées.

P4 · Moyenne · CVE-2026-86603 — WP Recipe Maker avant 10.8.2 permet à tout utilisateur authentifié de récupérer les identifiants et titres de listes non publiées d’autres utilisateurs.

P4 · Moyenne · CVE-2026-84742 — The Events Calendar avant 6.17.5 permet à des rôles ne pouvant normalement pas publier, comme Contributor, de publier des contenus via REST.

P4 · Moyenne · CVE-2026-84168 — Easy Hide Login avant 1.7 permet à un attaquant non authentifié de retrouver la page de connexion standard et le slug secret configuré.

P4 · Moyenne · CVE-2026-84741 — The Events Calendar avant 6.17.5 expose via une API REST publique des détails liés à des enregistrements jamais publiés.

P4 · Moyenne · CVE-2026-88997 — JSM Show Post Metadata avant 4.9.1 permet à un Contributor ou supérieur d’injecter du JavaScript exécuté lorsqu’un utilisateur plus privilégié examine une publication.

P4 · Moyenne · CVE-2026-84150 — Directorist avant 8.9.5 permet à un utilisateur authentifié de lire et modifier les favoris enregistrés d’un autre utilisateur.

P4 · Moyenne · CVE-2026-91073 — Subscribe Forms avant 1.6.3 permet à un utilisateur Author ou supérieur d’injecter du JavaScript stocké visible par les visiteurs.