Journal technique

P4 · Moyenne · CVE-2026-120530 — WebToffee WP Backup and Migration jusqu’à la version 1.6.1 comporte une injection SQL via le paramètre description, exploitable par un…

P4 · Moyenne · CVE-2026-120479 — Le plugin WP Data Access jusqu’à la version 5.5.90 permet à des utilisateurs authentifiés ayant au moins le rôle Subscriber…

P4 · Moyenne · CVE-2026-118801 — aBlocks exposait le contenu complet rendu de publications protégées par mot de passe via un shortcode utilisant l’identifiant de la…

P4 · Moyenne · CVE-2026-118800 — aBlocks était vulnérable à une XSS stockée via le paramètre « headingTag », pour toutes les versions jusqu’à 2.18.0 inclus.…

P4 · Moyenne · CVE-2026-118204 — WP Data Access permettait une XSS stockée par le biais d’une valeur de colonne de type URL d’image, notamment une…

P4 · Moyenne · CVE-2026-118048 — WP Data Access était vulnérable à une XSS stockée dans le libellé d’autocomplétion d’un formulaire simple, lorsque l’attaquant authentifié pouvait…

P4 · Moyenne · CVE-2026-116621 — Ultimate Member présentait une XSS stockée via « pm_note » ou un champ textarea personnalisé dont le HTML est désactivé…

P4 · Moyenne · CVE-2026-103917 — Quiz and Survey Master (QSM) permettait l’exécution de shortcodes arbitraires par un attaquant non authentifié, en raison d’une valeur insuffisamment…

P4 · Moyenne · CVE-2026-121858 — CVE-2026-121858 concerne Event Tickets with Ticket Scanner : avant la version 3.2.9, une valeur de recherche n’était pas correctement échappée…