FICHE CVE

CVE-2026-45293

Publiée le 2026-07-28 · Dernière modification le 2026-10-24

🇫🇷 EN BREF

Ce problème affecte les développeurs ou les pipelines CI/CD utilisant le package WordPress Coding Standards pour analyser le code PHP. Un attaquant peut exécuter des commandes arbitraires sur votre machine ou votre serveur en vous incitant à analyser un fichier PHP malveillant. Cela ne nécessite aucune permission ou authentification particulière, mais repose sur le fait que vous (ou votre pipeline automatisé) lanciez l'analyse d'un code tiers non fiable.

CVSS 3.18.6 ÉLEVÉE

Type de faiblesse

CWE-95

Publiée2026-07-28

Dernière modification2026-10-24

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueLocal

Complexité d'attaqueFaible

Privilèges requisAucun

Interaction utilisateurRequise

PortéeModifiée

Impact sur la confidentialitéÉlevé

Impact sur l'intégritéÉlevé

Impact sur la disponibilitéÉlevé

RÉFÉRENCES

Description officielle du NVD (en anglais)

WordPress Coding Standards is a set of PHP_CodeSniffer rules (sniffs) that enforce WordPress coding conventions. From 0.14.1 until 3.4.1, the WordPress.WP.EnqueuedResourceParameters sniff (active in the WordPress and WordPress-Extra rulesets) reconstructed the $ver argument passed to functions such as wp_enqueue_script() and ran it through eval() inside its is_falsy() method, so a maliciously crafted argument such as 'system'('id') would execute during a scan; as a result, running PHPCS with WordPressCS over untrusted PHP (for example a CI pipeline that lints pull requests, or a developer reviewing third-party code) could lead to arbitrary command execution on the scanning host. The WordPress-Core and WordPress-Docs rulesets are not affected. This issue is fixed in version 3.4.1.