CVE-2026-93485

Vulnérabilité de neutralisation incorrecte des entrées lors de la génération de pages web (« cross-site scripting ») dans le cœur d’Automattic WordPress permettant un XSS basé sur le DOM. Ce problème affecte les versions de WordPress 7.1 antérieures à 7.1.1 ; 7.0 à 7.0.4 ; 6.9 à 6.9.7 ; 6.8 à 6.8.8 ; 6.7 à 6.7.7 ; 6.6 à 6.6.7 ; 6.5 à 6.5.10 ; 6.4 à 6.4.10 ; 6.3 à 6.3.10 ; 6.2 à 6.2.11 ; 6.1 à 6.1.12 ; 6.0 à 6.0.14 ; 5.9 à 5.9.16 ; 5.8 à 5.8.15 ; 5.7 à 5.7.17 ; 5.6 à 5.6.19 ; 5.5 à 5.5.20 ; 5.4 à 5.4.21 ; 5.3 à 5.3.23 ; 5.2 à 5.2.26 ; 5.1 à 5.1.24 ; 5.0 à 5.0.27 ; 4.9 à 4.9.31 ; 4.8 à 4.8.30 ; et 4.7 à 4.7.35. La vulnérabilité XSS stockée non authentifiée dans le cœur de WordPress peut être reproduite sur une installation WordPress par défaut. La modération des commentaires est désactivée par défaut, et l’exigence selon laquelle les commentateurs doivent avoir un commentaire préalablement approuvé peut être contournée.