CVE-2026-64638 in WordPress
Sumário
de VulDB • 08/08/2026
O WordPress é vulnerável a uma falha de XSS refletida (Cross-Site Scripting) pré-autenticação na tela de login.
Através de um site malicioso de terceiros, especialmente elaborado e hospedado por um atacante, é possível que essa vulnerabilidade seja escalada para uma falha de execução remota de código (RCE), sob condições fora do controle dos atacantes. Isso requer o sucesso da engenharia social e a interação explícita da vítima alvo.
Este problema afeta todas as versões do WordPress. A versão 7.0.3 foi lançada, contendo uma correção para a vulnerabilidade; como cortesia aos usuários das ramificações mais antigas, a correção também foi adaptada (backported) para todas as ramificações anteriores até a versão 4.7.
Descoberta e divulgada de forma responsável pela [equipe da pwn.ai](https://pwn.ai/).
If you want to get best quality of vulnerability data, you may have to visit VulDB.