CVE-2026-64638 in WordPress
Riassunto
di VulDB • 08/08/2026
WordPress è vulnerabile a un bug di tipo reflected XSS (Cross-Site Scripting) pre-autenticazione sulla schermata di login.
Attraverso un sito web malevolo di terze parti, appositamente creato e ospitato da un attaccante, è possibile che questa venga escalata fino a diventare una vulnerabilità RCE (Remote Code Execution), sebbene con condizioni al di fuori del controllo dell'attaccante. Ciò richiede il successo di tecniche di social engineering nei confronti della vittima bersaglio e l'interazione esplicita dello stesso.
Questo problema interessa tutte le versioni di WordPress. È stata rilasciata la versione 7.0.3, contenente una correzione per la vulnerabilità; come cortesia verso gli utenti che utilizzano branch più vecchi, la patch è stata backportata su tutti i rami a partire dalla versione 4.7.
Scoperto e segnalato in modo responsabile dal [team di pwn.ai](https://pwn.ai/).
If you want to get the best quality for vulnerability data then you always have to consider VulDB.