WordPress 7.1.3 : sept failles de sécurité corrigées dans le cœur

En bref

• Le fait. Le 6 octobre 2026, l'équipe WordPress a publié la version 7.1.3, qui corrige sept failles de sécurité et quatre bugs. Elle recommande une mise à jour immédiate. Aucune exploitation n'est signalée. Le CERT-FR a publié l'avis CERTFR-2026-AVI-1273 le 7 octobre. Source : annonce de WordPress 7.1.3.
• Êtes-vous concerné ? Oui, si votre site vitrine, votre blog ou votre boutique fonctionne avec WordPress, quel que soit l'hébergeur.
• Quoi faire :
  1. vérifiez dans le tableau de bord (Tableau de bord, Mises à jour) que le site est en 7.1.3 ; les sites avec mises à jour automatiques l'ont normalement reçue ;
  2. sinon, faites faire une sauvegarde puis la mise à jour par votre prestataire ou votre hébergeur ;
  3. si votre site reste sur une ancienne branche de WordPress, faites planifier la montée vers la version courante : seule la dernière version est activement maintenue.
• Urgence : moyenne. WordPress ne publie pas de niveau de sévérité pour ces failles ; ce niveau est notre estimation, au vu des types de failles décrits et de l'absence d'exploitation signalée.

Détail technique

Failles corrigées (annonce WordPress) :

• XSS stockée sur la page d'administration des commentaires, exploitable via des commentaires en attente ;
• déni de service dans la méthode WP_Http::make_absolute_url() ;
• injection SQL de second ordre dans l'export WXR ;
• possibilité pour un utilisateur de rôle Auteur de mettre des articles en avant (« sticky ») ;
• divulgation, sans authentification, de commentaires d'articles privés ou non publiés ;
• XSS via les contenus intégrés Imgur ;
• paramètres falsifiables transmis au hook {status}_{type}, pouvant provoquer une collision de noms d'actions.

Identifiants. L'annonce de WordPress ne mentionne aucun identifiant CVE à la date de rédaction de cet article (22 octobre 2026).

Anciennes branches. WordPress indique rétroporter les correctifs, lorsque c'est nécessaire, vers toutes les branches éligibles aux correctifs de sécurité (actuellement jusqu'à la 4.7), au fur et à mesure de leur disponibilité. Seule la version la plus récente est activement maintenue.

KEV. Aucune exploitation n'est signalée par WordPress ni par le CERT-FR ; en l'absence de CVE, aucune entrée KEV ne peut s'y rapporter.

Contournement. Aucun contournement n'est proposé : la mise à jour est la mesure à appliquer.

Vérifier sa version. Dans l'administration : Tableau de bord, Mises à jour, qui affiche la version installée. En ligne de commande avec WP-CLI : wp core version. Les extensions et thèmes se mettent à jour séparément et ne sont pas couverts par cette version.