Le journal DFS
wordpress
-
Injection SQL dans le plugin WordPress Mail Mage
P3 · Élevée · CVE-2026-110532 — Mail Mage jusqu’à la version 0.0.25 ne traite pas correctement une valeur fournie par l’utilisateur avant de l’insérer dans une…
-
MCB WordPress : XSS stockée dans les statistiques d’administration
P3 · Élevée · CVE-2026-110525 — Le plugin WordPress MCB jusqu’à la version 1.0.0 ne neutralise pas les valeurs d’en-tête HTTP avant de les afficher dans…
-
Injection de code PHP dans CTX Feed
P3 · Élevée · CVE-2026-87964 — CVE-2026-87964 est une injection de code PHP dans CTX Feed, qui permet à des utilisateurs authentifiés disposant de droits de…
-
Suppression arbitraire de fichiers dans ELEX WordPress HelpDesk
P3 · Critique · CVE-2026-114630 — ELEX WordPress HelpDesk & Customer Ticketing System jusqu’à la version 3.3.8 incluse permet la suppression arbitraire de fichiers, avec une…
-
Création possible de comptes administrateurs via BuddyForms
P3 · Critique · CVE-2026-107622 — CVE-2026-107622 est une élévation de privilèges dans BuddyForms permettant, sous certaines conditions de configuration, à un attaquant non authentifié de…
-
MDJM : suppression non autorisée de rôles WordPress
P3 · Critique · CVE-2026-88800 — MDJM Event Management et Mobile Events Manager traitent une requête de suppression de rôle à chaque chargement de page sans…
-
WP Libre Form : téléversement de fichier PHP et exécution de code à distance
P3 · Critique · CVE-2026-118423 — La version 1.5.0.1 de WP Libre Form ne valide pas le type des fichiers reçus par les soumissions de formulaires.…
-
Static Snapshot : exécution de commandes à distance
P3 · Critique · CVE-2026-116533 — Static Snapshot jusqu’à la version 0.2.1 ne filtre pas les métacaractères shell dans une valeur fournie par l’utilisateur avant de…
-
WHIZZ : réinitialisation de mot de passe non autorisée
P3 · Critique · CVE-2026-115230 — Le plugin WHIZZ jusqu’à la version 1.1.8 ne vérifie pas correctement la clé de réinitialisation du mot de passe et…
-
Injection SQL et accès administrateur via GS JWT Authentication for WP REST API
P3 · Critique · CVE-2026-113615 — GS JWT Authentication for WP REST API jusqu’à la version 1.0.0 ne paramètre pas des valeurs de requête utilisées dans…