CVE-2026-93485

La neutralizzazione impropria dell'input durante la generazione di pagine web ('cross-site scripting') nel core di Automattic WordPress consente un XSS basato sul DOM. Il problema riguarda le versioni di WordPress dalla 7.1, precedenti alla 7.1.1; dalla 7.0 alla 7.0.4; dalla 6.9 alla 6.9.7; dalla 6.8 alla 6.8.8; dalla 6.7 alla 6.7.7; dalla 6.6 alla 6.6.7; dalla 6.5 alla 6.5.10; dalla 6.4 alla 6.4.10; dalla 6.3 alla 6.3.10; dalla 6.2 alla 6.2.11; dalla 6.1 alla 6.1.12; dalla 6.0 alla 6.0.14; dalla 5.9 alla 5.9.16; dalla 5.8 alla 5.8.15; dalla 5.7 alla 5.7.17; dalla 5.6 alla 5.6.19; dalla 5.5 alla 5.5.20; dalla 5.4 alla 5.4.21; dalla 5.3 alla 5.3.23; dalla 5.2 alla 5.2.26; dalla 5.1 alla 5.1.24; dalla 5.0 alla 5.0.27; dalla 4.9 alla 4.9.31; dalla 4.8 alla 4.8.30; e dalla 4.7 alla 4.7.35. La vulnerabilità XSS memorizzata non autenticata nel core di WordPress può essere riprodotta su un'installazione predefinita di WordPress. La moderazione dei commenti è disabilitata per impostazione predefinita ed è possibile aggirare il requisito che i commentatori abbiano un commento precedentemente approvato.