Le journal DFS
Veille sécurité
-
XSS stockée dans AnyComment
P3 · Élevée · CVE-2026-103422 — AnyComment stocke une valeur email non assainie via son endpoint REST public et l’affiche sans échappement dans l’administration. Un attaquant…
-
Contournement d’autorisation dans Directorist
P3 · Élevée · CVE-2026-17092 — Directorist ne vérifie pas correctement l’autorisation de l’utilisateur avant la suppression d’annonces du répertoire. Un utilisateur authentifié disposant au moins…
-
Bit Integrations : prise de contrôle de compte administrateur via la réexécution d’un journal
P3 · Élevée · CVE-2026-104749 — Le plugin Bit Integrations pour WordPress jusqu’à la version 2.10.6 incluse présente une faille de réexécution de journaux pouvant permettre…
-
Booking Package : divulgation non autorisée des données des clients
P3 · Élevée · CVE-2026-103423 — Le plugin Booking Package pour WordPress jusqu’à la version 1.7.29 permettait à des visiteurs non authentifiés de contourner l’autorisation et…
-
XSS stockée dans le plugin WordPress Document Gallery
P3 · Élevée · CVE-2026-77114 — Document Gallery présente une XSS stockée via le corps d’une requête à l’action dg_thumber_webhook, exploitable sans authentification lorsque la journalisation…
-
XSS stockée dans le plugin WordPress NewStatPress
P3 · Élevée · CVE-2026-100153 — NewStatPress contient une XSS stockée exploitable sans authentification via QUERY_STRING/REQUEST_URI, dans les pages publiques utilisant le shortcode [NewStatPress type= »Top Pages »].…
-
Inclusion locale de fichier dans LifterLMS via le shortcode checkout
P3 · Élevée · CVE-2026-110284 — La fiche NVD publiée le 14 octobre 2026 décrit une inclusion locale de fichier dans LifterLMS, affectant les versions jusqu’à…
-
Inclusion de fichier local dans BP Profile Search
P3 · Élevée · CVE-2026-104995 — BP Profile Search peut inclure un fichier local à partir d’une valeur de modèle contrôlée par le client dans une…
-
CVE-2026-91184 — injection de directives via NGINX Gateway Fabric
P3 · Élevée · CVE-2026-91184 — Un attaquant authentifié disposant de droits dans un espace de noms peut fournir une valeur realm spécialement construite dans une…
-
CVE-2026-96615 — lecture de clés TLS entre espaces de noms dans NGINX Gateway Fabric
P3 · Élevée · CVE-2026-96615 — Un attaquant authentifié disposant d’un accès à un compte de service peut usurper la connexion gRPC authentifiée de NGINX Agent.…