CVE-2026-93485
WordPress core <= 7.1 - अनधिकृत क्रॉस साइट स्क्रिप्टिंग (XSS) भेद्यता
- प्रकाशित
- 18 सित॰ 2026
- अद्यतन
- 17 अक्टू॰ 2026
- सीएनए असाइन करना
- Patchstack
- साक्ष्य देखे गए
- 22 सित॰ 2026
प्राथमिक सीवीएसएस
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:Lकम · अगले 30 दिन
- प्रतिशत
- 27.5%
- मॉडल दिनांक
- 17 अक्टू॰ 2026
ईपीएसएस एक सांख्यिकीय अनुमान है, कोई निश्चितता या प्रभाव का माप नहीं। इसे सीवीएसएस, केईवी स्थिति, एक्सपोज़र और अपने वातावरण के साथ मिलाएं।
सारांश
वेब पेज जनरेशन के दौरान इनपुट का अनुचित न्यूट्रलाइज़ेशन ('क्रॉस-साइट स्क्रिप्टिंग') की भेद्यता Automattic WordPress core में DOM-आधारित XSS की अनुमति देती है। यह समस्या WordPress के संस्करणों 7.1 से पहले 7.1.1; 7.0 से 7.0.4 तक; 6.9 से 6.9.7 तक; 6.8 से 6.8.8 तक; 6.7 से 6.7.7 तक; 6.6 से 6.6.7 तक; 6.5 से 6.5.10 तक; 6.4 से 6.4.10 तक; 6.3 से 6.3.10 तक; 6.2 से 6.2.11 तक; 6.1 से 6.1.12 तक; 6.0 से 6.0.14 तक; 5.9 से 5.9.16 तक; 5.8 से 5.8.15 तक; 5.7 से 5.7.17 तक; 5.6 से 5.6.19 तक; 5.5 से 5.5.20 तक; 5.4 से 5.4.21 तक; 5.3 से 5.3.23 तक; 5.2 से 5.2.26 तक; 5.1 से 5.1.24 तक; 5.0 से 5.0.27 तक; 4.9 से 4.9.31 तक; 4.8 से 4.8.30 तक; और 4.7 से 4.7.35 तक को प्रभावित करती है। WordPress core में Unauthenticated Stored XSS भेद्यता को एक डिफ़ॉल्ट WordPress इंस्टॉलेशन पर पुनरुत्पादित किया जा सकता है। टिप्पणी मॉडरेशन डिफ़ॉल्ट रूप से अक्षम है, और टिप्पणीकर्ताओं के लिए पहले से अनुमोदित टिप्पणी होने की आवश्यकता को बायपास किया जा सकता है।
स्रोत
- CVE-2026-93485पता लगाना
CVE-2026-93485 के लिए रक्षात्मक शोध रिपॉजिटरी, जो एक WordPress कोर स्टोर्ड XSS दोष है, जिसमें वर्शन-चेक स्कैनर, तकनीकी विश्लेषण, और पैच सत्यापन मार्गदर्शन शामिल है।
- Comment2Shellएक्सप्लॉइट
Zero-click प्री-ऑथ WordPress CVE-2026-93485 एक्सप्लॉइट चेन: wpautop() में स्टोर्ड XSS, जो admin-session प्लगइन अपलोड और एक self-deleting webshell तक बढ़ता है, साथ में scanner, shell, और Nuclei template।
जिम्मेदारीपूर्ण उपयोग
भेद्यता जानकारी का उपयोग केवल उन प्रणालियों पर करें जिनके मालिक आप हैं या परीक्षण के लिए अधिकृत हैं। किटप्लॉइट सार्वजनिक अनुसंधान मेटाडेटा से लिंक करता है और शोषण कोड या दुर्भावनापूर्ण पेलोड को संग्रहीत नहीं करता है।