Le journal DFS
wordpress
-
Ultimate Multisite : contournement d’authentification
P3 · Critique · CVE-2026-75957 — Ultimate Multisite – WordPress Multisite SaaS & WaaS Platform présentait une faille d’authentification permettant, sous certaines conditions, de se connecter…
-
Super Forms : élévation de privilèges par inscription
P3 · Critique · CVE-2026-15989 — Le module Super Forms – Drag & Drop Form Builder permettait, dans certaines conditions, à un visiteur non authentifié de…
-
LatePoint : exécution de shortcodes arbitraires via le parcours de réservation
P3 · Critique · CVE-2026-92966 — LatePoint jusqu’à la version 5.7.0 permet à un attaquant non authentifié de provoquer l’exécution de shortcodes arbitraires en exploitant le…
-
CVE-2026-27085 : injection de contenu dans le thème Astra
P4 · Faible · CVE-2026-27085 — La fiche NVD signale une injection de contenu dans le thème Astra, accessible à un gestionnaire de boutique. Les versions…
-
Media Library Organizer : création de termes sans autorisation suffisante
P4 · Faible · CVE-2026-94297 — Media Library Organizer ne vérifie pas que l’utilisateur dispose des capacités nécessaires pour gérer la taxonomie ciblée avant de créer…
-
Safe Redirect Manager : redirection vers un site externe arbitraire
P4 · Faible · CVE-2026-88791 — Lorsqu’une règle de redirection générique vers une URL absolue est configurée, la destination n’est pas correctement validée. Un attaquant non…
-
Schema & Structured Data for WP & AMP : injection de scripts sur multisite
P4 · Faible · CVE-2026-82127 — Schema & Structured Data for WP & AMP ne contrôle pas les capacités lors de l’enregistrement de plusieurs champs et…
-
Broken Link Notifier : contournement du filtre d’adresses internes
P4 · Moyenne · CVE-2026-97316 — Broken Link Notifier ne revalide pas la destination des redirections lorsqu’il vérifie des liens, ce qui permet de contourner son…
-
Course Booking System : export non protégé de données clients
P4 · Moyenne · CVE-2026-96886 — Course Booking System ne restreint pas l’accès à l’export des réservations. Un utilisateur non authentifié peut télécharger les noms, adresses…
-
YayReviews : exposition d’avis et de données personnelles
P4 · Moyenne · CVE-2026-94274 — YayReviews expose sans restriction une route d’API qui renvoie les avis individuels, y compris ceux en attente de modération. Des…