Le journal DFS
wordpress
-
Simple Banner : élévation de privilèges par attribution excessive de capacités
P3 · Élevée · CVE-2026-107506 — CVE-2026-107506 affecte la gestion des capacités dans Simple Banner : les capacités accordées aux rôles autorisés à gérer les bannières…
-
WP Time Capsule : déploiement de staging accessible sans contrôles suffisants
P3 · Élevée · CVE-2026-107237 — CVE-2026-107237 concerne le gestionnaire de déploiement d’un site de staging vers le site en production de Backup and Staging by…
-
Uncanny Toolkit for LearnDash : risque de prise de contrôle de compte lors d’une réinitialisation
P3 · Élevée · CVE-2026-107127 — CVE-2026-107127 affecte la réinitialisation de mot de passe dans Uncanny Toolkit for LearnDash : l’origine de la demande n’est pas…
-
XSS stockée et contrôle de capacité manquant dans Falang
P3 · Élevée · CVE-2026-105262 — Falang ne vérifie pas les capacités lors de l’enregistrement des traductions de termes et expose un nonce valide à tout…
-
Injection SQL dans Modern Events Calendar Lite et Pro
P3 · Élevée · CVE-2026-102499 — Modern Events Calendar Lite et Pro ne neutralisent pas correctement un paramètre utilisé dans une requête SQL avant la version…
-
Injection d’objet PHP dans Duplicator et Duplicator Pro
P3 · Élevée · CVE-2026-82814 — Duplicator et Duplicator Pro sont vulnérables à une injection d’objet PHP pendant une migration, respectivement jusqu’aux versions 1.5.17 et 4.6.10…
-
GS Plugins WordPress Team Members : désérialisation de données non fiables
P3 · Élevée · CVE-2026-110369 — Une vulnérabilité de désérialisation de données non fiables dans GS Plugins WordPress Team Members permet une injection d’objets. La fiche…
-
Meta Box : défaut d’autorisation
P4 · Moyenne · CVE-2026-109700 — Meta Box – WordPress Custom Fields Framework présente un défaut d’autorisation pouvant permettre l’exploitation de niveaux de contrôle d’accès mal…
-
DiviGear Carousel : XSS persistante via l’action AJAX de licence
P4 · Moyenne · CVE-2026-93878 — DiviGear Carousel est vulnérable à une injection XSS persistante via l’action AJAX `update_license`, en raison d’un assainissement et d’un échappement…
-
Easy Property Listings : accès non autorisé aux dossiers de contacts
P4 · Moyenne · CVE-2026-96903 — Easy Property Listings n’effectue pas les contrôles d’autorisation nécessaires sur plusieurs actions AJAX de lecture liées à la gestion des…