CVE-2026-64638 in WordPress
Resumen
por VulDB • 2026-08-07
WordPress es vulnerable a una vulnerabilidad de XSS reflejado (Cross-Site Scripting) pre-autenticación en la pantalla de inicio de sesión.
A través de un sitio web malicioso de terceros especialmente manipulado y alojado por un atacante, es posible que esto se escalone hasta convertirse en una vulnerabilidad RCE bajo condiciones fuera del control del atacante. Esto requiere el éxito de ingeniería social sobre la víctima objetivo así como su interacción explícita.
Este problema afecta a todas las versiones de WordPress. Se ha lanzado la versión 7.0.3, que contiene una corrección para la vulnerabilidad y, por cortesía hacia los usuarios en ramas más antiguas, el parche se ha retrotraído (backported) a todas las ramas desde la 4.7.
Descubierto y revelado de forma responsable por [el equipo de pwn.ai](https://pwn.ai/).
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.