La schermata di login di WordPress diventa un punto d’attacco
Una pagina di login pubblica non è un’area innocua: se il core non è aggiornato, basta un link costruito ad arte e un clic per far eseguire script nel browser di chi apre la pagina. Il problema non è l’accesso all’account, ma il fatto che l’interazione dell’utente basta a trasformare una schermata pre-auth in un punto d’ingresso lato browser.
WordPress ha corretto CVE-2026-64638, una reflected XSS pre-auth sulla schermata di login, e ha pubblicato fix per molte linee del core, da 7.0.3 fino a 4.7.34. La falla colpisce le installazioni esposte in pubblico e rende rischiosa ogni pagina di login non patchata, perché il bersaglio è la superficie esterna del sito, non solo l’area amministrativa.
Per chi gestisce siti WordPress pubblici, il rischio non si ferma al furto di sessioni o al phishing: una pagina di login affidata al browser dell’utente può diventare il punto da cui abusare di fiducia, interazioni e azioni amministrative. In questo caso il confine tra “senza credenziali” e “senza rischio” non regge più.