Le journal DFS
wordpress
-
Click n Chat : injection SQL via les paramètres de tri
P3 · Élevée · CVE-2026-92998 — Le plugin Click n Chat ne nettoie pas les paramètres de tri avant leur insertion dans une clause SQL ORDER…
-
Click n Chat : injection SQL par paramètre de colonne non validé
P3 · Élevée · CVE-2026-92997 — Le plugin Click n Chat utilise un paramètre comme identifiant de colonne dans une requête SQL sans validation adéquate, ce…
-
Weglot : injection de contenu via les URL réécrites des pages traduites
P3 · Élevée · CVE-2026-88784 — Le plugin Translate WordPress with Weglot ne neutralise pas les URL réinjectées lors de la réécriture des liens pour une…
-
Formidable Forms : épuisement non authentifié du quota de vérification des paiements
P3 · Élevée · CVE-2026-85642 — Formidable Forms avant la version 7.0 ne vérifie pas l’identité de l’appelant avant d’enregistrer l’horodatage utilisé pour limiter les requêtes…
-
Advanced File Manager : script actif dans un fichier SVG stocké
P3 · Élevée · CVE-2026-79627 — Advanced File Manager avant la version 6.0.0 ne détermine pas correctement si un fichier stocké est un SVG avant de…
-
miniOrange 2FA : contournement du second facteur par ajout de passkey
P3 · Élevée · CVE-2026-111949 — miniOrange 2FA permet à une connexion par passkey encore en attente d’enregistrer une passkey supplémentaire sur un compte qui en…
-
XSS réfléchie dans User Profile Builder
P3 · Élevée · CVE-2026-111948 — Le plugin WordPress User Profile Builder ne protège pas suffisamment l’URL de la page courante avant de l’insérer dans un…
-
Redirection for Contact Form 7 : XSS stockée dans les entrées de prospects
P3 · Élevée · CVE-2026-111574 — Redirection for Contact Form 7 n’assainit ni n’échappe les données de formulaire enregistrées comme entrées de prospects avant leur affichage…
-
WP User Manager : contournement du paiement à l’inscription et attribution de rôle privilégié
P3 · Élevée · CVE-2026-110523 — WP User Manager ne maintient pas les restrictions d’inscription payante lorsque la passerelle de paiement est déconnectée, alors qu’un formulaire…
-
WP Booking System : XSS réfléchie dans une page d’administration
P3 · Élevée · CVE-2026-109147 — CVE-2026-109147 concerne un paramètre de WP Booking System renvoyé dans une page d’administration sans validation ni échappement suffisants. Cela permet…