Le journal DFS
wordpress
-
Super Forms : suppression arbitraire de répertoires
P3 · Critique · CVE-2026-17609 — Super Forms jusqu’à la version 6.3.316 incluse comporte une faille dans submit_form permettant à un attaquant non authentifié de supprimer…
-
CERT-FR : multiples vulnérabilités dans WordPress
P4 — Le CERT-FR a publié le 7 octobre 2026 un avis signalant de multiples vulnérabilités dans WordPress. L’avis indique des risques de déni de service…
-
CP Media Player : contrôles d’accès insuffisants aux réglages
P4 · Faible · CVE-2026-104678 — Un utilisateur disposant du rôle Contributeur peut gérer les configurations globales du lecteur multimédia et modifier une option réservée aux…
-
Hustle : défaut d’autorisation
P4 · Moyenne · CVE-2026-103075 — Le plugin Hustle de WPMU DEV présente un défaut d’autorisation permettant l’exploitation de niveaux de contrôle d’accès mal configurés. Les…
-
PowerPress Podcasting : SSRF via redirection d’URL de média
P4 · Moyenne · CVE-2026-97354 — PowerPress Podcasting avant la version 11.17.11 ne valide pas la destination des redirections lors de la récupération d’une URL de…
-
User Private Files : divulgation d’adresses électroniques
P4 · Moyenne · CVE-2026-97331 — User Private Files avant la version 2.1.9 ne vérifie pas que l’utilisateur fourni est associé au document concerné. Un utilisateur…
-
Divulgation des identifiants Optimole à des utilisateurs authentifiés
P4 · Moyenne · CVE-2026-96530 — Optimole avant 4.2.15 ne vérifie pas les permissions avant d’afficher les données de compte d’optimisation d’images dans un widget du…
-
MetForm : injection de balisage dans les courriels de notification
P4 · Moyenne · CVE-2026-86833 — MetForm avant 4.3.1 n’assainit ni n’échappe les valeurs soumises dans les champs de formulaire avant de les insérer dans le…
-
Magee Shortcodes : envoi de courriels à des destinataires arbitraires
P4 · Moyenne · CVE-2026-105322 — Magee Shortcodes jusqu’à la version 2.1.1 incluse ne restreint pas le destinataire de certaines actions de formulaire de contact accessibles…
-
MPG : injection SQL via les données de projet importées
P4 · Moyenne · CVE-2026-104953 — Un utilisateur ayant le rôle Éditeur ou supérieur peut exploiter des données de projet importées pour effectuer une injection SQL…