Le journal DFS
wordpress
-
Vitepos : injection SQL dans une route REST
P3 · Élevée · CVE-2026-92766 — Le plugin Vitepos pour WooCommerce présente une injection SQL via le paramètre src_by. La route REST concernée est accessible sans…
-
WordPress WP Ghost — XSS stockée dans replaceHeadersAndTags
P3 · Élevée · CVE-2026-89051 — WP Ghost (Hide My WP Ghost) est vulnérable à une XSS stockée jusqu’à la version 7.0.12 incluse. Une entrée malveillante…
-
WordPress Theme My Login — modification non autorisée de mots de passe
P3 · Critique · CVE-2026-89079 — Theme My Login est vulnérable à une prise de contrôle de compte jusqu’à la version 7.2.1 incluse. Dans certaines configurations…
-
Injection d’objets PHP dans Sunshine Photo Cart
P3 · Critique · CVE-2026-104730 — Le plugin Sunshine Photo Cart jusqu’à la version 3.7.4 incluse permet une injection d’objets PHP par désérialisation de données non…
-
Téléversement de fichiers arbitraires dans ELEX WordPress HelpDesk
P3 · Critique · CVE-2026-103768 — Le plugin ELEX WordPress HelpDesk & Customer Ticketing System présente une validation insuffisante du type des pièces jointes IMAP enregistrées.…
-
MailOptin expose les comptes WordPress à une prise de contrôle
P3 · Critique · CVE-2026-109515 — MailOptin peut permettre à un attaquant non authentifié de modifier le mot de passe d’un compte WordPress existant, y compris…
-
Mang Board : téléversement arbitraire de fichiers
P3 · Critique · CVE-2026-109219 — CVE-2026-109219 concerne Mang Board jusqu’à la version 2.4.4 incluse et permet le téléversement de fichiers potentiellement exécutables sans authentification, sous…
-
My Calendar : exécution de fonctions PHP et élévation de privilèges
P3 · Critique · CVE-2026-104798 — CVE-2026-104798 affecte My Calendar jusqu’à la version 3.8.7 incluse et peut permettre à un attaquant non authentifié d’exécuter des fonctions…
-
SellKit : manipulation du prix d’un produit lors du paiement
P4 · CVE-2026-94254 — SellKit ne valide pas le prix d’un produit fourni par le client lorsque les totaux sont recalculés pendant le paiement. Avant la…
-
WP 2FA : suppression intersite de configurations 2FA dans Multisite
P4 · CVE-2026-108066 — Sur WordPress Multisite, un administrateur de site peut supprimer la configuration d’authentification à deux facteurs d’utilisateurs relevant d’autres sites, faute de contrôle…