Veille CVE
Chaque vulnérabilité qui compte, en une fiche : contexte, vecteur d'attaque, versions impactées, correctif, sources croisées. Les fiches issues du bulletin quotidien sont marquées ◆ ; les analyses de fond sont signées Kreomnis.
CVE-2026-84254◆Critique9.812 oct. 2026 The click5 CRM add-on to Contact Form 7 WordPress plugin through 1.0.4 n’a pas vérifié l’autorisation et ne vérifie pas les CSRF lors de la mise à jour des options via un endpoint REST
Le plugin Click5 CRM pour Contact Form 7 WordPress jusqu’à la v1.0.4 ne vérifie pas l’appartenance des options mises à jour et n’effectue pas de contrôles CSRF, permettant à des attaquants non authentifiés de changer des options du blog…
CVE-2026-84734◆Critique9.812 oct. 2026 The Mindstien Quick Login WordPress plugin through 1.0 ne valide pas correctement une valeur de la requête contre la session lors de l’authentification
Le plugin Mindstien Quick Login WordPress jusqu’à la version 1.0 ne valide pas correctement une valeur fournie dans la requête par rapport à la session de l’utilisateur, permettant à des attaquants non authentifiés d’obtenir une session…
CVE-2026-84737◆Critique9.812 oct. 2026 The Freeton WP WordPress plugin through 1.0.0 permet l’authentification non authentifiée via l’adresse email connue
Le plugin Freeton WP WordPress jusqu’à la version 1.0.0 ne valide pas correctement le code d’activation lors de l’authentification d’un utilisateur, permettant à des attaquants non authentifiés de se connecter en tant qu’un utilisateur…
CVE-2026-85118◆Critique9.812 oct. 2026 The AI Content Generator Marketing WordPress plugin through 1.0.0 ne vérifie pas les nonce ou capacités sur certaines actions AJAX
Le plugin AI Content Generator Marketing WordPress jusqu’à la version 1.0.0 n’impose pas de nonce ou de vérification de capacité sur certaines actions AJAX, permettant à des utilisateurs non authentifiés de mettre à jour et supprimer des…