WordPress - CVE-2026-64638
Date de publication :
Il s'agit d'une vulnérabilité de type Cross-Site Scripting réfléchi (Reflected XSS) pré-authentification dans l'écran de connexion de WordPress.
WordPress est un système de gestion de contenu (CMS) open source largement utilisé pour la création et l'administration de sites web.
La vulnérabilité est exploitable via un site tiers malveillant spécialement conçu par l'attaquant et nécessite une opération d'ingénierie sociale ainsi qu'une interaction explicite de la victime. Dans certaines conditions, elle peut être escaladée vers une exécution de code à distance.
Elle permet à un attaquant non authentifié d'amener une victime à exécuter du code JavaScript dans le contexte d'un site WordPress vulnérable et, sous certaines conditions liées à l'environnement et aux actions de la victime, d'obtenir une exécution decode à distance.
Informations
La faille est activement exploitée : Non
Un correctif existe : Oui
Une mesure de contournement existe : Non
• Exécution de code arbitraire (à distance)
• Atteinte à la confidentialité des données
• Atteinte à l'intégrité des données
• Injection de code indirecte (à distance) (XSS)
Exploitation
CWE-79 : Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting')
Détails sur l'exploitation
• Vecteur d'attaque : Réseau
• Complexité de l'attaque : Élevée
• Privilèges nécessaires pour réaliser l'attaque : Aucun
• Interaction d'un utilisateur ayant accès au produit est-elle nécessaire : En attente d’information
• L'exploitation de la faille permet d'obtenir des droits privilégiés : En attente d’information
Preuve de concept
Actuellement, aucune preuve de concept n'est disponible en sources ouvertes.
Systèmes ou composants affectés
• WordPress versions 6.9.0 jusqu'à 6.9.5
• WordPress versions 6.8.0 jusqu'à 6.8.6
• WordPress versions 6.7.0 jusqu'à 6.7.5
• WordPress versions 6.6.0 jusqu'à 6.6.5
• WordPress versions 6.5.0 jusqu'à 6.5.8
• WordPress versions 6.4.0 jusqu'à 6.4.8
• WordPress versions 6.3.0 jusqu'à 6.3.8
• WordPress versions 6.2.0 jusqu'à 6.2.9
• WordPress versions 6.1.0 jusqu'à 6.1.10
• WordPress versions 6.0.0 jusqu'à 6.0.12
• WordPress versions 5.9.0 jusqu'à 5.9.13
• WordPress versions 5.8.0 jusqu'à 5.8.13
• WordPress versions 5.7.0 jusqu'à 5.7.15
• WordPress versions 5.6.0 jusqu'à 5.6.17
• WordPress versions 5.5.0 jusqu'à 5.5.18
• WordPress versions 5.4.0 jusqu'à 5.4.19
• WordPress versions 5.3.0 jusqu'à 5.3.21
• WordPress versions 5.2.0 jusqu'à 5.2.24
• WordPress versions 5.1.0 jusqu'à 5.1.22
• WordPress versions 5.0.0 jusqu'à 5.0.25
• WordPress versions 4.9.0 jusqu'à 4.9.29
• WordPress versions 4.8.0 jusqu'à 4.8.28
• WordPress versions 4.7.0 jusqu'à 4.7.33
Solutions ou recommandations
• Branche 6.9.x : corrigé en version 6.9.6
• Branche 6.8.x : corrigé en version 6.8.7
• Branche 6.7.x : corrigé en version 6.7.6
• Branche 6.6.x : corrigé en version 6.6.6
• Branche 6.5.x : corrigé en version 6.5.9
• Branche 6.4.x : corrigé en version 6.4.9
• Branche 6.3.x : corrigé en version 6.3.9
• Branche 6.2.x : corrigé en version 6.2.10
• Branche 6.1.x : corrigé en version 6.1.11
• Branche 6.0.x : corrigé en version 6.0.13
• Branche 5.9.x : corrigé en version 5.9.14
• Branche 5.8.x : corrigé en version 5.8.14
• Branche 5.7.x : corrigé en version 5.7.16
• Branche 5.6.x : corrigé en version 5.6.18
• Branche 5.5.x : corrigé en version 5.5.19
• Branche 5.4.x : corrigé en version 5.4.20
• Branche 5.3.x : corrigé en version 5.3.22
• Branche 5.2.x : corrigé en version 5.2.25
• Branche 5.1.x : corrigé en version 5.1.23
• Branche 5.0.x : corrigé en version 5.0.26
• Branche 4.9.x : corrigé en version 4.9.30
• Branche 4.8.x : corrigé en version 4.8.29
• Branche 4.7.x : corrigé en version 4.7.34