Le journal DFS
wordpress
-
MB Custom Post Types & Custom Taxonomies : migration relançable sans authentification
P4 · Moyenne · CVE-2026-110010 — MB Custom Post Types & Custom Taxonomies avant la version 2.12.3 autorise une requête non authentifiée à relancer une migration…
-
WP Ultimate Review : exécution de shortcodes via les avis publics
P4 · Moyenne · CVE-2026-103234 — WP Ultimate Review, avant la version 2.4.5, ne neutralise pas les shortcodes dans tous les champs du formulaire public d’avis.…
-
FluentCart : exposition possible des adresses de clients
P4 · Moyenne · CVE-2026-100142 — FluentCart, avant la version 2.2.0, ne vérifie pas que l’adresse client choisie lors du paiement appartient à la personne qui…
-
Défaut d’autorisation dans miniOrange Page Restriction
P4 · Moyenne · CVE-2026-114696 — Le plugin miniOrange Page Restriction WordPress présente une vulnérabilité d’autorisation manquante due à des niveaux de contrôle d’accès mal configurés.…
-
Défaut d’autorisation dans Falcon – WordPress Optimizations & Tweaks
P4 · Moyenne · CVE-2026-112826 — Le plugin Falcon – WordPress Optimizations & Tweaks présente une vulnérabilité d’autorisation manquante liée à une configuration incorrecte des contrôles…
-
XSS stockée dans le plugin Link Library
P4 · Moyenne · CVE-2026-78392 — Le plugin Link Library ne nettoie ni n’échappe un champ de lien avant de l’insérer dans un attribut HTML de…
-
XSS stockée dans WordPress Core via Quick Edit
P4 · Moyenne · CVE-2026-114570 — Une vulnérabilité XSS stockée dans WordPress Core permet à un utilisateur authentifié ayant le rôle Contributor ou supérieur d’injecter du…
-
JetBackup pour WordPress : écriture arbitraire de fichiers via un lien symbolique
P3 · Élevée · CVE-2026-104068 — CVE-2026-104068 concerne JetBackup pour WordPress : un administrateur authentifié pouvait exploiter un lien symbolique dans une archive de sauvegarde pour…
-
Royal MCP : jeton de prévisualisation réutilisable comme authentification générale
P3 · Élevée · CVE-2026-111958 — Royal MCP avant la version 1.5.7 ne limite pas un jeton de prévisualisation à la prévisualisation pour laquelle il a…
-
PixelYourSite : XSS stocké via cookie et cache pleine page
P3 · Élevée · CVE-2026-109987 — PixelYourSite avant 11.4.3 et PixelYourSite Pro avant 12.6.8 n’échappent pas correctement une valeur de cookie avant de l’insérer dans la…