Le journal DFS
wordpress
-
Modification non autorisée de comptes dans le plugin placester
P3 · Critique · CVE-2026-113584 — Le plugin placester jusqu’à la version 1.4.3 ne vérifie ni les droits, ni le nonce, ni la propriété du compte…
-
Contournement de l’authentification dans le plugin Wurdey
P3 · Critique · CVE-2026-110955 — Wurdey jusqu’à la version 1.0.0 ne vérifie pas la signature d’une requête avant de connecter un utilisateur, ce qui peut…
-
Essential Real Estate : accès aux images d’annonces non publiées
P4 · CVE-2026-90965 — Deux actions AJAX d’Essential Real Estate ne vérifient pas l’autorisation de l’appelant ni le statut de publication des annonces. Des utilisateurs non…
-
Essential Real Estate : envoi de courriels à des destinataires arbitraires
P4 · CVE-2026-90964 — Essential Real Estate ne restreint pas le destinataire d’une action d’envoi de courriel. Des utilisateurs non authentifiés peuvent envoyer, par l’intermédiaire du…
-
Essential Real Estate : divulgation d’annonces non publiées et de données d’agents
P4 · CVE-2026-90963 — Une action AJAX d’Essential Real Estate ne vérifie ni l’autorisation ni le statut de publication des annonces. Des utilisateurs non authentifiés peuvent…
-
Community Events : divulgation de soumissions en attente de modération
P4 · CVE-2026-86795 — Une action AJAX de Community Events ne comporte ni contrôle d’autorisation ni vérification de nonce suffisants. Des utilisateurs non authentifiés peuvent récupérer…
-
WP Event Manager : accès et modification de contenus non publiés
P4 · CVE-2026-86442 — WP Event Manager ne vérifie pas la propriété ni le type d’un article à partir d’un identifiant fourni dans le flux de…
-
Tutor LMS : divulgation des réponses correctes aux quiz
P4 · CVE-2026-85570 — Tutor LMS inclut les bonnes réponses aux questions de quiz dans la page servie à l’étudiant, même lorsque le réglage correspondant devrait…
-
FV Flowplayer Video Player : SSRF via une URL non validée
P4 · CVE-2026-85351 — FV Flowplayer Video Player ne valide pas une URL fournie par l’utilisateur avant d’effectuer une requête côté serveur, puis de stocker et…
-
FV Flowplayer Video Player : injection de script via une valeur non assainie
P4 · CVE-2026-85347 — Dans FV Flowplayer Video Player, une valeur fournie par l’utilisateur n’est pas assainie avant d’être affichée, ce qui peut permettre une injection…