Le journal DFS
wordpress
-
XSS stocké dans Bold Page Builder via le shortcode bt_bb_image
P4 · Moyenne · CVE-2026-6172 — CVE-2026-6172 est une vulnérabilité de cross-site scripting stocké dans Bold Page Builder, via le paramètre `caption` du shortcode `bt_bb_image`. Les…
-
XSS stocké dans Bold Page Builder via le shortcode bt_bb_icon
P4 · Moyenne · CVE-2026-6171 — CVE-2026-6171 est une vulnérabilité de cross-site scripting stocké dans Bold Page Builder, via le paramètre `target` du shortcode `bt_bb_icon`. Les…
-
XSS stocké dans Bold Page Builder via le shortcode bt_bb_css_image_grid
P4 · Moyenne · CVE-2026-6170 — CVE-2026-6170 est une vulnérabilité de cross-site scripting stocké dans Bold Page Builder, via le paramètre `images` du shortcode `bt_bb_css_image_grid`. Les…
-
Injection SQL dans WP Directory Kit
P4 · Moyenne · CVE-2026-16596 — CVE-2026-16596 concerne une injection SQL dans le plugin WP Directory Kit, via le paramètre `data_fields_list`. Les versions jusqu’à 1.5.4 inclus…
-
XSS stockée dans Smart Slider 3
P4 · Moyenne · CVE-2026-14876 — Le plugin Smart Slider 3 présente une XSS stockée via le paramètre `data-href`, liée à une sanitisation et un échappement…
-
XSS stockée dans HT Mega Addons for Elementor
P4 · Moyenne · CVE-2026-11895 — Le plugin HT Mega Addons for Elementor présente une XSS stockée via le réglage `display_options` des tableaux de données, due…
-
Fichiers téléversés non validés dans le plugin WordPress Verge3D
P3 · Élevée · CVE-2026-92994 — Le plugin WordPress Verge3D Publishing and E-Commerce, dans les versions antérieures à 4.13.1, ne valide pas le contenu des fichiers…
-
WP Mobile Menu : XSS persistante via l’import des réglages
P3 · Élevée · CVE-2026-91832 — La vérification du nonce lors de l’importation des réglages est incorrecte, ce qui permet une importation déclenchée par une requête…
-
Robin Image Optimizer : XSS persistante dans le contenu soumis
P3 · Élevée · CVE-2026-89193 — Avec un mode de diffusion d’images non standard activé, le parseur HTML inclus réémet des valeurs dans des attributs sans…
-
Vayu X : installation de plugins par un utilisateur authentifié
P3 · Élevée · CVE-2026-88797 — Une action AJAX du thème ne vérifie pas les capacités de l’utilisateur et le nonce associé est exposé à tous…