Le journal DFS
Journal technique
-
WordPress — Ad Inserter : exécution de code depuis un compte abonné
P4 · CVE-2026-81655 — Dans une configuration autorisée par ses propres réglages, Ad Inserter expose une page de paramètres à tout utilisateur connecté sans filtrer le…
-
Joomla — Event Gallery : CSRF sur les actions du panier
P4 · Moyenne · CVE-2026-100748 — Plusieurs actions du panier d’Event Gallery sont exposées à une falsification de requête intersite. Le CNA Joomla classe cette faille…
-
Joomla — Event Gallery : XSS réfléchie et redirection ouverte
P4 · Moyenne · CVE-2026-97165 — Event Gallery décode le paramètre return en base64 puis l’insère dans le lien de retour sans validation. Une URL piégée…
-
Joomla — Event Gallery : CSRF sur le nettoyage administratif
P4 · Moyenne · CVE-2026-100749 — Les actions de nettoyage de l’administration d’Event Gallery sont vulnérables à une falsification de requête intersite. La suppression concerne les…
-
Joomla — Event Gallery : CSRF sur le téléversement d’images
P4 · Moyenne · CVE-2026-100747 — Le téléversement d’images d’Event Gallery ne vérifie pas de jeton anti-CSRF. Un site tiers peut provoquer l’ajout de fichiers dans…
-
Joomla — Event Gallery : suppression arbitraire de répertoires
P3 · Élevée · CVE-2026-97164 — La tâche de nettoyage du cache d’Event Gallery accepte un chemin insuffisamment contrôlé dans le paramètre images. Un utilisateur authentifié…
-
WordPress — Download Manager Pro : XSS persistante sans authentification
P4 · CVE-2026-86609 — Le formulaire d’inscription aux téléchargements verrouillés par courriel ne neutralise pas les données ensuite affichées dans l’administration. Un attaquant non authentifié peut…
-
CVE-2026-92411 — XSS stocké dans WP Delicious
P4 · CVE-2026-92411 — WP Delicious avant 1.10.8 ne valide ni n’échappe le nom de balise HTML provenant de données de blocs de recette contrôlées par…
-
CVE-2026-16591 — XSS stocké dans WP Directory Kit
P4 · CVE-2026-16591 — WP Directory Kit avant 1.5.8 n’échappe pas correctement certains champs de catégorie et d’emplacement lorsqu’ils sont affichés dans des attributs de page.…
-
CVE-2026-98130 — Linux SCTP : course TOCTOU lors du réarmement d’un temporisateur
P3 · Élevée · CVE-2026-98130 — Une course TOCTOU dans SCTP pouvait réarmer un temporisateur sans acquérir la référence d’association requise, puis déséquilibrer le compteur de…