Cross-Site Scripting (XSS) réfléchi sur la page d'authentification de WordPress
Une vulnérabilité XSS réfléchie affectant le cœur de WordPress permettrait à un attaquant d'exécuter du code arbitraire à distance via la page d'authentification.
Description
Contexte technique et détails de la vulnérabilité
WordPress est un système de gestion de contenu (CMS) open source permettant de créer, gérer et publier des sites web. Cette solution est affectée par une vulnérabilité libellée CVE-2026-64638, de type Cross-Site Scripting (XSS). Son exploitation permettrait à un attaquant, au moyen d'un site tiers spécialement conçu, d'exécuter du code JavaScript malveillant dans le contexte d'un utilisateur administrateur et, dans certaines conditions, d'aboutir à une exécution de code arbitraire à distance (RCE) sur les systèmes affectés. Elle est classée haute avec un score de sévérité de 8.9 selon le CVSS v4.0.
Impact & Risques potentiels
Conséquences potentielles en cas d'exploitation
- Exécution de code arbitraire ;
- Atteinte à l'intégrité du système ;
- Atteinte à la confidentialité des données ;
- Indisponibilité des services.
Systèmes affectés
Produits, composants et versions concernés
- Toutes les versions de WordPress antérieures à la version 7.0.3.
Mesures & Remédiations recommandées
Actions immédiates et correctifs recommandés
- Mettre à jour les sites WordPress vers la version 7.0.3 ou supérieure.
Sources & Liens externes
Avis constructeurs et bulletins de référence
Fiche Technique
Cellule d'Urgence CSIRT
Votre infrastructure est-elle affectée ou suspectez-vous un incident ? Nos experts sont mobilisables pour intervenir.
Signaler un incidentRecevez nos alertes par email
Abonnez-vous pour recevoir nos bulletins d'alerte de sécurité et les actualités d'Iservices directement dans votre boîte mail.