Le journal DFS
Veille sécurité
-
CVE-2026-85985 : contrôles d’accès insuffisants dans les UDF de fichiers CONNECT
P4 · Moyenne · CVE-2026-85985 — Les UDF d’accès aux fichiers du moteur CONNECT ne vérifient pas correctement le privilège FILE ni le paramètre secure_file_priv. Un…
-
CVE-2026-85745 : lecture hors limites dans ST_Area
P4 · Moyenne · CVE-2026-85745 — Le traitement d’un WKB MultiPolygon invalide par ST_Area peut lire au-delà du tampon alloué et divulguer de la mémoire. Les…
-
XSS stockée dans GeoDirectory via le contenu d’une annonce
P4 · Moyenne · CVE-2026-110703 — GeoDirectory contient une XSS stockée via le paramètre `post_content`, exploitable par un utilisateur authentifié disposant au minimum du rôle Subscriber…
-
XSS stockée dans Events Made Easy
P4 · Moyenne · CVE-2026-107649 — Events Made Easy présente une XSS stockée via `event[location_name]`, réalisable sans authentification lorsque la soumission d’événements par les invités et…
-
XSS stockée dans Tutor LMS via display_name
P4 · Moyenne · CVE-2026-93681 — Tutor LMS contient une XSS stockée via le paramètre `display_name`, exploitable par un utilisateur authentifié disposant au minimum du rôle…
-
Name Directory : XSS persistante via l’attribut dir d’un shortcode
P4 · Moyenne · CVE-2026-104726 — Le plugin Name Directory pour WordPress présente une faille XSS persistante via l’attribut dir d’un shortcode. Un attaquant authentifié avec…
-
ProfilePress : exécution arbitraire de shortcodes via les commentaires
P4 · Moyenne · CVE-2026-104003 — Le plugin WP User Avatar / ProfilePress pour WordPress permet l’exécution de shortcodes arbitraires dans l’onglet Commentaires du profil public.…
-
Contrôle d’accès manquant dans une action AJAX de Squeeze
P4 · Moyenne · CVE-2026-110029 — Le plugin Squeeze ne vérifie pas les capacités de l’utilisateur sur une action AJAX, permettant à un utilisateur authentifié ayant…
-
Exposition de données analytiques dans MAIO
P4 · Moyenne · CVE-2026-109930 — Le plugin MAIO n’isole pas correctement l’accès à ses données analytiques et accepte comme clé API une valeur d’identification présente…
-
XSS stockée dans SureDash
P4 · Moyenne · CVE-2026-96870 — SureDash jusqu’à la version 1.12.0 incluse présente une XSS stockée via le paramètre `display_name`. Un utilisateur authentifié de niveau abonné…