WordPress 7.1.4 corrige une exécution de code pendant les mises à jour et plusieurs XSS
WordPress a publié le 28 octobre 2026 la version 7.1.4, une mise à jour de sécurité que le projet recommande d’installer immédiatement. Elle corrige notamment une faiblesse du processus de mise à niveau pouvant conduire à une exécution de code à distance pendant la fenêtre de mise à jour. Il ne s’agit donc pas d’affirmer que tout site est exploitable à tout instant.
Le lot traite aussi de nombreuses injections de scripts persistants (XSS), notamment dans les blocs et l’Interactivity API. Plusieurs nécessitent un compte disposant de droits de contribution ou d’édition. Une autre correction empêche des visiteurs non authentifiés de découvrir des changements non publiés du personnalisateur. Ces défauts peuvent compromettre la confidentialité ou l’intégrité du site, selon les permissions et les fonctionnalités utilisées.
Les documents officiels consultés ne donnent pas d’identifiants CVE ni de scores CVSS pour ces corrections et ne signalent pas d’exploitation active. Les attribuer sans autre preuve serait prématuré.
Installer 7.1.4, puis vérifier la version effectivement exécutée. Des correctifs sont également distribués sur d’anciennes branches, par exemple 7.0.8 et 6.9.11 ; seul le dernier WordPress reste activement maintenu. Sauvegarder et contrôler la compatibilité des extensions avant migration. Cette mise à jour du CMS ne remplace pas les correctifs PHP à appliquer séparément chez l’hébergeur.
Mots-clés suggérés : WordPress, CMS, correctifs, XSS, sécurité web.
Sources :
WordPress, annonce officielle de sécurité 7.1.4, 28 octobre 2026
WordPress, notes de version et correctifs par branche, 28 octobre 2026
