Le journal DFS
wordpress
-
SimpleForm : création non authentifiée de comptes administrateurs
P3 · Critique · CVE-2026-104748 — SimpleForm permet à un attaquant non authentifié de créer un compte WordPress avec des privilèges d’administrateur. Toutes les versions jusqu’à…
-
Exécution arbitraire de shortcodes dans Click to Chat for WhatsApp
P3 · Critique · CVE-2026-92097 — Click to Chat for WhatsApp peut transmettre à l’interpréteur de shortcodes une valeur issue de l’URL de la requête sur…
-
Exécution de code à distance dans le plugin WordPress AGE-GATE
P3 · Critique · CVE-2026-104800 — Le plugin AGE-GATE présente une exécution de code à distance non authentifiée via son point d’entrée admin.php et des paramètres…
-
Téléversement arbitraire de fichier dans Snazzy Social Media Feed
P3 · Critique · CVE-2026-110002 — Snazzy Social Media Feed permet l’écriture d’un fichier potentiellement exécutable dans son cache à partir du paramètre pluginURL, sans contrôles…
-
Téléversement arbitraire de fichiers dans JTL-Connector for WooCommerce
P3 · Critique · CVE-2026-87855 — JTL-Connector for WooCommerce accepte une valeur jtlauth vide comme identifiant valide et valide insuffisamment le type des fichiers envoyés, permettant…
-
Injection SQL dans le panier persistant de Abandoned Cart Pro for WooCommerce
P3 · Critique · CVE-2026-97668 — Abandoned Cart Pro for WooCommerce présente une injection SQL dans le traitement du panier persistant invité. La donnée injectée peut…
-
Contournement d’authentification dans Abandoned Cart Pro for WooCommerce
P3 · Critique · CVE-2026-97657 — Abandoned Cart Pro for WooCommerce permet le contournement de l’authentification à partir de jetons de récupération de panier forgés, pouvant…
-
Divulgation d’informations sensibles dans Ad Inserter
P4 · Moyenne · CVE-2026-89097 — Ad Inserter jusqu’à la version 2.8.18 incluse expose des informations sensibles via ai_wp_footer_hook à des utilisateurs authentifiés ayant le rôle…
-
Injection SQL de second ordre dans Animated Number Counters
P4 · Moyenne · CVE-2026-15399 — Animated Number Counters jusqu’à la version 3.0 incluse présente une injection SQL de second ordre via le paramètre counterid. Un…
-
Écriture arbitraire de fichiers dans WP-BusinessDirectory
P4 · Moyenne · CVE-2026-89271 — WP-BusinessDirectory jusqu’à la version 4.0.2 ne limite pas suffisamment le type ni la destination des fichiers traités par un gestionnaire…