🔍 Résumé technique

La vulnérabilité réside dans la façon dont WordPress gère le nom d'utilisateur lors d'une tentative de connexion échouée.

• L'entrée passe par sanitize_user() et wp_strip_all_tags() (qui s'appuie sur strip_tags() de PHP).
• Le traitement ultérieur avec wp_kses_post() permet à certaines charges utiles de type balise contenant des espaces de survivre et de devenir des éléments DOM actifs.
• Ces éléments interagissent avec le JavaScript propre de WordPress (user-profile.js) chargé sur la page de connexion.
• Les attaquants peuvent exploiter le comportement de l'API REST / JSONP et des techniques de même origine pour escalader davantage.

Le chemin RCE complet nécessite :

1. Une victime déjà connectée en tant qu'administrateur de site unique
2. Une interaction explicite (généralement un clic) avec une page contrôlée par l'attaquant
3. Des fonctionnalités WordPress spécifiques alignées (mots de passe d'application, capacité de téléversement de plugins, etc.)

⚠️ WordPress note que l'escalade réussie vers la RCE dépend de conditions hors du contrôle total de l'attaquant et nécessite de l'ingénierie sociale.

📦 Versions affectées et corrigées

• Toutes les versions de 4.7.0 à 7.0.2 sont affectées.
• Les versions antérieures à 4.7 restent vulnérables mais sortent du cadre du support de rétroportage actuel.

✅ Atténuation et recommandations

🚨 Mettre à jour immédiatement

• Mettez à niveau vers WordPress 7.0.3 (ou la version de sécurité correspondante sur votre branche).
• Les sites avec les mises à jour automatiques en arrière-plan activées devraient recevoir le correctif automatiquement.
• Ne vous appuyez pas uniquement sur les plugins de durcissement ou la CSP comme atténuation complète — le correctif du cœur est requis.
• Conseillez aux administrateurs d'éviter de cliquer sur des liens non sollicités lorsqu'ils sont connectés au tableau de bord WordPress.

📎 Références officielles

• Avis de sécurité GitHub
  GHSA-52p2-r8wf-jcrf

• Version WordPress 7.0.3
  wordpress.org/news/2026/08/wordpress-7-0-3-release/

• Analyse technique
  The Hacker News – Nouvelle XSS pré-authentification WordPress