CVE-2026-93485 : un commentaire anonyme suffit à déclencher une XSS stockée dans wpautop() puis, dans une session admin, une RCE. Anatomie du bug, détection et correctif (WordPress 7.1.1).
La chaîne wp2shell combine une injection SQL et une confusion de route REST batch pour une RCE pré-auth dans WordPress. Analyse, démo en labo et remédiation.