Le journal DFS
Veille sécurité
-
CVE-2026-93367 — XSS stockée non authentifiée dans Visitors Traffic Real Time Statistics Pro
P3 · Élevée · CVE-2026-93367 — Le plugin WordPress Visitors Traffic Real Time Statistics Pro présente une XSS stockée non authentifiée : la valeur `page_title` est…
-
tinypool : exécution de code via pollution de prototype dans les options du worker
P3 · Critique · CVE-2026-104849 — Si une application transmet à `pool.run()` un objet d’options dont `filename` est hérité après une pollution de prototype, tinypool peut…
-
Tinypool : options héritées pouvant conduire à l’exécution de code dans un worker
P3 · Critique · CVE-2026-104848 — Avant Tinypool 2.1.1, des options de worker héritées d’un prototype pollué peuvent être transmises à `worker_threads.Worker` et entraîner le chargement…
-
Super Forms : lecture de fichiers arbitraires par traversée de répertoires
P3 · Critique · CVE-2026-15896 — Super Forms jusqu’à la version 6.3.316 présente une traversée de répertoires permettant, dans les conditions décrites, la lecture de fichiers…
-
Élévation de privilèges dans Divi Membership pour WordPress
P3 · Critique · CVE-2026-19652 — Divi Membership permet une élévation de privilèges jusqu’au rôle administrateur dans les versions jusqu’à 2.2.0 incluse, avec possibilité de prise…
-
Divulgation d’URL de réinitialisation dans WPMobile.App
P3 · Critique · CVE-2026-94541 — WPMobile.App jusqu’à la version 11.82 incluse présente un contournement d’autorisation permettant de récupérer des URL de réinitialisation de mot de…
-
Divulgation de cookie administrateur et contournement d’authentification dans JSON API Auth
P3 · Critique · CVE-2026-97637 — JSON API Auth jusqu’à la version 3.1.2 incluse présente un contournement d’authentification lié à la divulgation d’un cookie de session…
-
Paquet Go malveillant : gogets.dev/btreex
P3 · Critique — L’avis signale `gogets.dev/btreex` comme paquet Go malveillant lié à la campagne Graphalgo. Selon l’avis, une valeur entière particulière déclenche une charge utile…
-
Paquet Go malveillant : gocommunity.io/orderedbtree
P3 · Critique — L’avis signale un paquet Go malveillant, `gocommunity.io/orderedbtree`, associé à la campagne Graphalgo et décrit comme contenant un cheval de Troie d’accès distant.…
-
Divi Membership : contournement d’authentification via le rappel PayPal
P3 · Critique · CVE-2026-19660 — Divi Membership jusqu’à la version 2.3.0 permet à un attaquant non authentifié de se connecter sous l’identité d’un utilisateur WordPress,…