Edit: La faille a été corrigée dans la version 3.3.1 disponible ici : http://www.wordpress-fr.net/2012/01/03/wordpress-3-3-1/ ou via le tableau de bord 
Une faille XSS sur Wordpress 3.3 a été découverte par deux indiens experts en sécurité : Aditya Modha & Samir Shah. Ils expliquent sur leur blog comment exploiter cette faille.
Celle-ci peut être exploitée via les commentaires d'un article. Il faudra exécuter deux étapes pour y arriver comme ils l'expliquent :
1ère étape : Poster un commentaire sur le site.
2ème étape : Remplacer la valeur auteur, email et commentaire avec la valeur exacte qui a été posté dans votre commentaire précédent. Changer la valeur de comment_post_ID par celle de l'article. Par exemple cela peut être : http://192.168.1.102/wordpress/?p=6
En attendant désactivez les commentaires sur vos articles ou vous pouvez bien sûr aller dans Réglages > Discussions ou si vous êtes bourrin, exécutez cette requête pour fermer les commentaires sur tous vos articles comme ça ni vous ni vos membres ne feront de bêtises 
UPDATE `wp_posts` SET `comment_status` = 'close';
Enfin bref, j'espère pour vous que vous n'avez pas encore upgrade
MISES A JOUR DE L'ARTICLE |
L'exploit ne fonctionne que si vous naviguez vous IE, et non pas Ffox, chrome, opera, safari. Merci qui ?
Le problème est-il le même si il y a validation de tous les commentaires ?
Peu importe la manière de l'exploiter, une faille reste une faille.
Et donc que ce soit uniquement sur IE ou non on s'en moque mais l'exploit se fait bien à partir d'Internet Explorer. Plus précisément IE 8.0.7600.16385 comme dit dans la source : EXPLOIT (IE 8.0.7600.16385 Win7 XSS filter disabled)
Le screenshot de la source est d'autant plus explicite.
Merci pour l'info, je viens juste d'upgrader hier je vais donc gentiment suivre ces instructions... en espérant que la version prochaine soit ok.
Bonne année à tous !