Le journal DFS
wordpress
-
Headless CMS Plugin : divulgation d’informations via l’API REST
P3 · Moyenne · CVE-2026-121509 — Headless CMS Plugin jusqu’à la version 2.0.4 présente une divulgation d’informations dans la route REST /wp-json/rae/v1/post, via la fonction get_required_post_data…
-
ACF: Extended PRO : injection de code dans render_field
P3 · Critique · CVE-2026-120534 — Advanced Custom Fields: Extended PRO, jusqu’à la version 0.9.2.6 incluse, présente une injection de code limitée dans la fonction render_field.…
-
BuddyPress XProfile Image Field : suppression arbitraire de fichiers
P3 · Critique · CVE-2026-120518 — BuddyPress XProfile Image Field, jusqu’à la version 3.1.0 incluse, peut supprimer un fichier arbitraire à partir de métadonnées de profil…
-
Exécution de code à distance dans s2Member
P3 · Critique · CVE-2026-86596 — Le plugin s2Member pour WordPress présente une vulnérabilité d’exécution de code à distance jusqu’à la version 260927 incluse. Mettre à…
-
PayHere Payment Gateway : notifications de paiement falsifiables si le secret marchand est absent
P4 · Moyenne · CVE-2026-103310 — CVE-2026-103310 concerne PayHere Payment Gateway pour WordPress : lorsque le secret marchand n’est pas configuré, les notifications de paiement ne…
-
Extension WooCommerce : contrôle d’autorisation manquant dans des actions AJAX de sauvegarde
P3 · Élevée · CVE-2026-120318 — CVE-2026-120318 concerne Product Gallery Slider & Additional Variation Images for WooCommerce : des actions AJAX de sauvegarde Codestar dépourvues de…
-
Wordfence reproduit l’exploitation de CVE-2026-111497 via WordPress dans une configuration de laboratoire
P1 · Critique · CVE-2026-111497 — Wordfence rapporte avoir reproduit une exécution de code à distance non authentifiée via XML-RPC pingback sur une configuration WordPress utilisant…
-
MapPress : divulgation d’informations utilisateur sans authentification
P4 · Moyenne · CVE-2026-118168 — Le gestionnaire d’intégration de carte en façade de MapPress ne limitait pas les données utilisateur qu’il pouvait afficher, permettant à…
-
Media Library Assistant : XSS stockée via un attribut de shortcode
P4 · Moyenne · CVE-2026-113482 — Media Library Assistant n’échappait pas un attribut de shortcode avant de l’insérer dans l’attribut d’un lien généré, permettant une attaque…
-
Media Library Assistant : divulgation de termes de taxonomie privés
P4 · Moyenne · CVE-2026-113481 — Media Library Assistant ne vérifiait pas que l’utilisateur avait le droit de consulter un article avant de révéler les termes…