{"uuid": "197db730-8f8c-4d3f-ad0d-32f84d59ebc7", "vulnerability_lookup_origin": "1a89b78e-f703-45f3-bb86-59eb712668bd", "author": "9f56dd64-161d-43a6-b9c3-555944290a09", "vulnerability": "CVE-2026-65640", "type": "seen", "source": "https://infosec.exchange/users/decio/statuses/117088692616270994", "content": "\u2026et encore une vuln\u00e9rabilit\u00e9 critique dans #WordPress, trouv\u00e9e une nouvelle fois par pwn.ai, qui a n\u00e9cessit\u00e9 la publication en urgence de la mise \u00e0 jour 7.0.4\nLa CVE-2026-65640 est une RCE assez int\u00e9ressante c\u00f4t\u00e9 traitement d\u2019images. (ImageMagick)\nUn utilisateur avec le r\u00f4le Author peut envoyer un fichier nomm\u00e9 comme une innocente image .png, alors que son contenu est en r\u00e9alit\u00e9 du PostScript/EPS. WordPress se fiait trop \u00e0 l\u2019extension ; ImageMagick, lui, regarde le contenu et peut transmettre le fichier \u00e0 Ghostscript\u2026 avec \u00e0 la cl\u00e9 une ex\u00e9cution de code.\nCe n\u2019est donc pas une RCE pr\u00e9-auth : il faut d\u00e9j\u00e0 disposer d\u2019un compte Author. Mais sur un site multi-auteurs, communautaire ou avec des comptes peu ma\u00eetris\u00e9s, le risque devient nettement plus concret. \ud83d\udc47 https://wordpress.org/news/2026/08/wordpress-7-0-4-release/\u2b07\ufe0f https://github.com/WordPress/wordpress-develop/security/advisories/GHSA-8vr3-7mxf-gx8w\n#CyberVeille", "creation_timestamp": "2026-08-13T14:34:22.756706Z"}