Le journal DFS
wordpress
-
Exécution de shortcodes arbitraires dans Ninja Forms
P4 · CVE-2026-100155 — Ninja Forms permet l’exécution de shortcodes arbitraires par un utilisateur non authentifié, en raison d’une validation insuffisante avant l’appel à do_shortcode. Les…
-
BuddyForms : suppression non autorisée de médias téléversés par des invités
P4 · Faible · CVE-2026-118437 — BuddyForms, avant la version 2.10.1, ne vérifie pas correctement la propriété des pièces jointes téléversées par des visiteurs. Un attaquant…
-
Injection SQL dans Web 2.0 Directory
P4 · Moyenne · CVE-2026-15272 — Web 2.0 Directory présente une injection SQL temporelle via `w2dc_level_filter` jusqu’à la version 2.10.12 incluse. Un attaquant non authentifié peut…
-
XSS stockée dans BuddyBoss Platform
P4 · Moyenne · CVE-2026-96554 — BuddyBoss Platform est vulnérable à une XSS stockée dans le nom des groupes jusqu’à la version 3.6.0 incluse. L’exploitation nécessite…
-
XSS stockée dans GeoDirectory
P4 · Moyenne · CVE-2026-116752 — GeoDirectory présente une XSS stockée via le paramètre `post_images` jusqu’à la version 2.8.197 incluse. Un utilisateur authentifié de niveau Abonné…
-
XSS DOM réfléchie dans Ninja Forms
P4 · Moyenne · CVE-2026-100151 — Ninja Forms est vulnérable à une XSS DOM réfléchie via le paramètre d’URL `querystring:` jusqu’à la version 3.15.5 incluse. Un…
-
XSS stockée dans Smart Post
P4 · Moyenne · CVE-2026-119160 — Smart Post présente une XSS stockée dans toutes les versions jusqu’à 4.0.9 incluse. Un utilisateur authentifié disposant au minimum du…
-
Exposition de métadonnées non publiques dans All in One SEO
P4 · Moyenne · CVE-2026-109367 — All in One SEO expose des métadonnées non publiques dans toutes les versions jusqu’à 5.0.3 incluse. Un attaquant non authentifié…
-
Exposition d’informations sensibles dans Amelia
P4 · Moyenne · CVE-2026-103915 — Amelia expose des informations sensibles dans toutes les versions jusqu’à 2.4.12 incluse. Un attaquant non authentifié peut obtenir des renseignements…
-
Injection SQL dans le plugin Newsletters
P4 · Moyenne · CVE-2026-101325 — Le plugin Newsletters présente une injection SQL dans le paramètre id dans toutes les versions jusqu’à 4.18.1 incluse. Un attaquant…