Données publiées par NVD. La traduction française est automatique : le texte anglais fait foi.
WordPress Core est vulnérable à l'exécution de code à distance dans les versions 4.7 à 7.1.3. Cela est dû aux chemins de mise en scène prévisibles et accessibles sur le Web utilisés lors des mises à jour de cœurs de plein paquet. Cela permet aux attaquants non authentifiés d'exécuter du code sur le serveur pendant la fenêtre de mise à niveau.
Texte officiel (anglais)
WordPress Core is vulnerable to Remote Code Execution in versions 4.7 through 7.1.3. This is due to predictable, web-accessible staging paths used during full-package core upgrades. This makes it possible for unauthenticated attackers to execute code on the server during the upgrade window.
La U.S. Cybersecurity and Infrastructure Security Agency (CISA) a ajouté un défaut de sécurité dans WordPress Core au catalogue des vulnérabilités explicitées (KEV), ce qui a mis en évidence l'exploitation active. La vulnérabilité à haute gravité, suivie par CVE-2026-119977 (note CVSS : 8.1), est un cas de condition de course de temps de contrôle (TOCTOU) qui pourrait être exploité pour obtenir un code arbitraire
Le CISA a ajouté une nouvelle vulnérabilité à son catalogue de vulnérabilités explicitées connues (KEV), en se fondant sur des preuves d'exploitation active. CVE-2026-119977 WordPress Core Time-of-check Time-of-use (TOCTOU) Race Condition Vulnérabilité Ce type de vulnérabilité est un vecteur d'attaque fréquent pour les cyberacteurs malveillants et pose des risques importants pour l'entreprise fédérale. Directive opérationnelle contraignante (DBO)
