Разработчики WordPress исправили серьезную отраженную XSS-уязвимость на странице авторизации, которая затрагивает все версии CMS и не требует аутентификации. Исследователи уже продемонстрировали, что в определенных условиях этот баг можно использовать для выполнения произвольного PHP-кода на сервере.
Проблема получила идентификатор CVE-2026-64638 (8,9 балла по шкале CVSS) и название XSS2Shell. Исследователи из pwn.ai рассказывают, что для эксплуатации самой XSS атакующему не понадобятся особые привилегии. Достаточно отправить на страницу логина специально подготовленное имя пользователя: после неудачной попытки авторизации WordPress выводит этот username на странице с сообщением об ошибке, после чего JavaScript выполняется в браузере жертвы.
А вот для проведения полноценной RCE-атаки нужно соблюсти ряд дополнительных условий. Так, жертва должна быть авторизована в WordPress с правами администратора и должна взаимодействовать со страницей, контролируемой атакующим. В демонстрации исследователей для выполнения кода хватило всего одного клика.
По словам специалистов, уязвимость присутствует в любых стандартных установках WordPress и не требует каких-то особых настроек хостинга. В своем отчете исследователи описывают сразу несколько вариантов перехода от XSS к выполнению произвольного кода, включая установку плагина и загрузку ZIP-архива.
Корень проблемы заключается в том, что WordPress обрабатывает введенное имя пользователя несколькими разными парсерами. Строка, похожая на HTML-тег и содержащая пробел после символа «<», не удаляется функцией strip_tags() и остается обычным текстом. Позже эту строку обрабатывает wp_kses_post(), который уже распознает ее как допустимый HTML. В результате атакующий может внедрить элементы DOM на страницу с сообщением об ошибке после неудачной авторизации.
После этого исследователи задействовали штатный JavaScript в WordPress, подмену переменной ajaxurl, REST API и поддержку JSONP, чтобы выполнить код в контексте уязвимого сайта. Разработанная специалистами цепочка атаки опирается на технику Same Origin Method Execution (SOME), которую еще в 2022 году описал ИБ-эксперт Паулос Йибело (Paulos Yibelo).
Уязвимость была устранена 6 августа 2026 года с релизом WordPress 7.0.3, и патчи доступны для более старых версий CMS, вплоть до ветки 4.7. Владельцам сайтов рекомендуется установить обновления как можно скорее.
Следует отметить, что разработчики WordPress оценивают возможную эксплуатацию XSS2Shell в рамках RCE-сценария как маловероятную. По их словам, атака во многом зависит от социальной инженерии и действий администратора, то есть атакующий не контролирует все необходимые условия.
