Le journal DFS
wordpress
-
Suppression arbitraire de fichiers via Super Forms
P3 · Élevée · CVE-2026-15983 — Super Forms permet à un utilisateur authentifié de niveau abonné ou supérieur de provoquer la suppression de fichiers ou répertoires…
-
XSS stockée dans Autoptimize
P3 · Élevée · CVE-2026-14995 — Autoptimize présente une XSS stockée via le chemin REQUEST_URI, dans toutes les versions jusqu’à 3.1.15.1 incluse. Le scénario décrit nécessite…
-
Divulgation non autorisée de fichiers de cours dans LearnPress
P3 · Élevée · CVE-2026-93882 — LearnPress est vulnérable à une référence directe non sécurisée permettant de récupérer des fichiers de matériel pédagogique associés à des…
-
ByteCoreStack MCP Connector : élévation de privilèges
P3 · Élevée · CVE-2026-19807 — Le connecteur MCP ByteCoreStack – MCP Connector for AI Tools permettait à un utilisateur authentifié de s’attribuer des privilèges d’administrateur…
-
Prise de session administrateur dans WPC Shop as a Customer for WooCommerce
P3 · Élevée · CVE-2026-95687 — WPC Shop as a Customer for WooCommerce permet une prise de session administrateur sans validation correcte du rôle du compte…
-
AI Engine : XSS stockée via le widget Advisor
P3 · Élevée · CVE-2026-96561 — Le plugin AI Engine jusqu’à la version 3.8.0 permet une XSS stockée : une chaîne contrôlée par un attaquant non…
-
Simply Schedule Appointments : exposition de données et suppression possible de rendez-vous
P3 · Élevée · CVE-2026-92245 — Simply Schedule Appointments jusqu’à la version 1.6.12.32 incluse divulgue sans authentification des données personnelles de rendez-vous et des jetons publics…
-
Extendify : XSS stockée dans les styles de blocs globaux
P3 · Élevée · CVE-2026-85679 — Extendify jusqu’à la version 3.1.6 présente une XSS stockée via la clé de type de bloc styles.blocks, faute de validation…
-
BackupSheep : sauvegardes et suppression de fichiers accessibles sans authentification
P3 · Critique · CVE-2026-101148 — BackupSheep jusqu’à la version 1.8 accepte une clé d’intégration vide ou non définie, permettant à un attaquant non authentifié de…
-
Injection SQL non authentifiée dans WordPress File Upload
P3 · Critique · CVE-2026-62071 — WordPress File Upload est affecté par une injection SQL non authentifiée dans les versions jusqu’à 5.1.10. Les données fournies ne…