CVE-2026-93485
WordPress core <= 7.1 - Vulnérabilité de type Cross Site Scripting (XSS) non authentifiée
- Publié
- 18 sept. 2026
- Mise à jour
- 19 sept. 2026
- Attribution de CNA
- Patchstack
- Preuve observée
- 22 sept. 2026
CVSS primaire
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:LFaible · 30 prochains jours
- Percentile
- 5,7 %
- Date du modèle
- 21 sept. 2026
EPSS est une estimation statistique, et non une certitude ou une mesure d'impact. Combinez-le avec CVSS, le statut KEV, l'exposition et votre environnement.
Résumé
Neutralisation incorrecte de l'entrée lors de la génération de pages web (« cross-site scripting ») dans le cœur d'Automattic WordPress permet une XSS basée sur le DOM. Ce problème affecte les versions de WordPress 7.1 antérieures à 7.1.1 ; 7.0 à 7.0.4 ; 6.9 à 6.9.7 ; 6.8 à 6.8.8 ; 6.7 à 6.7.7 ; 6.6 à 6.6.7 ; 6.5 à 6.5.10 ; 6.4 à 6.4.10 ; 6.3 à 6.3.10 ; 6.2 à 6.2.11 ; 6.1 à 6.1.12 ; 6.0 à 6.0.14 ; 5.9 à 5.9.16 ; 5.8 à 5.8.15 ; 5.7 à 5.7.17 ; 5.6 à 5.6.19 ; 5.5 à 5.5.20 ; 5.4 à 5.4.21 ; 5.3 à 5.3.23 ; 5.2 à 5.2.26 ; 5.1 à 5.1.24 ; 5.0 à 5.0.27 ; 4.9 à 4.9.31 ; 4.8 à 4.8.30 ; et 4.7 à 4.7.35. La vulnérabilité de XSS stockée non authentifiée dans le cœur de WordPress peut être reproduite sur une installation WordPress par défaut. La modération des commentaires est désactivée par défaut, et l'exigence selon laquelle les commentateurs doivent avoir un commentaire précédemment approuvé peut être contournée.
Sources
1- CVE-2026-93485Détection
Dépôt de recherche défensive pour CVE-2026-93485, une faille XSS stockée dans le cœur de WordPress, avec scanner de vérification de version, analyse technique et conseils de vérification des correctifs.
Utilisation responsable
Utilisez les informations de vulnérabilité uniquement sur les systèmes que vous possédez ou que vous êtes autorisé à tester. Kitploit renvoie aux métadonnées de la recherche publique et ne stocke pas de code d'exploitation ni de charges utiles malveillantes.