CVE-2026-93485

Eine Schwachstelle durch unzureichende Neutralisierung von Eingaben während der Generierung von Webseiten („Cross-Site-Scripting“) im Automattic WordPress core ermöglicht DOM-Based XSS. Dieses Problem betrifft WordPress-Versionen 7.1 vor 7.1.1; 7.0 bis 7.0.4; 6.9 bis 6.9.7; 6.8 bis 6.8.8; 6.7 bis 6.7.7; 6.6 bis 6.6.7; 6.5 bis 6.5.10; 6.4 bis 6.4.10; 6.3 bis 6.3.10; 6.2 bis 6.2.11; 6.1 bis 6.1.12; 6.0 bis 6.0.14; 5.9 bis 5.9.16; 5.8 bis 5.8.15; 5.7 bis 5.7.17; 5.6 bis 5.6.19; 5.5 bis 5.5.20; 5.4 bis 5.4.21; 5.3 bis 5.3.23; 5.2 bis 5.2.26; 5.1 bis 5.1.24; 5.0 bis 5.0.27; 4.9 bis 4.9.31; 4.8 bis 4.8.30; und 4.7 bis 4.7.35. Die nicht authentifizierte Stored-XSS-Schwachstelle im WordPress core lässt sich auf einer standardmäßigen WordPress-Installation reproduzieren. Die Kommentarmoderation ist standardmäßig deaktiviert, und die Anforderung, dass Kommentierende zuvor einen genehmigten Kommentar abgegeben haben müssen, kann umgangen werden.