CVE-2026-64638
WordPress ist anfällig für eine Pre-Auth-reflektierte XSS-Schwachstelle auf dem Anmeldebildschirm. Über eine speziell präparierte, bösartige...
- Veröffentlicht
- 07.08.2026
- Aktualisiert
- 07.08.2026
- CNA zuweisen
- hackerone
- Beweise beobachtet
- 25.08.2026
Primäres CVSS
nvd · CVSS 4.0
CVSS:4.0/AV:N/AC:H/AT:N/PR:N/UI:A/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:XNiedrig · nächste 30 Tage
- Perzentil
- 58,7 %
- Modelldatum
- 15.10.2026
EPSS ist eine statistische Schätzung, keine Gewissheit oder ein Maß für die Auswirkung. Kombinieren Sie es mit CVSS, KEV-Status, Belichtung und Ihrer Umgebung.
Zusammenfassung
WordPress ist anfällig für eine Pre-Auth-reflektierte XSS-Schwachstelle auf dem Anmeldebildschirm. Über eine speziell präparierte, bösartige Drittanbieter-Website, die von einem Angreifer gehostet wird, ist es möglich, dies zu einer RCE-Schwachstelle zu eskalieren, wobei die Bedingungen außerhalb der Kontrolle des Angreifers liegen. Dies erfordert erfolgreiches Social Engineering und eine explizite Interaktion durch das Zielopfer. Dieses Problem betrifft alle Versionen von WordPress. Version 7.0.3 wurde veröffentlicht und enthält einen Fix für die Schwachstelle; als Entgegenkommen für Benutzer älterer Zweige wurde der Fix auf alle Zweige bis zurück zu 4.7 zurückportiert. Entdeckt und verantwortungsvoll offengelegt von [dem Team bei pwn.ai](https://pwn.ai/).
Quellen
http/cves/2026/CVE-2026-64638.yaml
Nuclei TemplatesAngegebene Bedingungen
- network: http($.protocol_keys)
- verification: regex,status,word($.matchers[*].type)
- CVE-2026-64638Forschung
CVE-2026-64638
- xss2shellScanner
🔥 XSS2Shell — CVE-2026-64638-Scanner & PoC-Toolkit
CVE-2026-64638 (XSS2shell) POC.
- CVE-2026-64638Exploit
Proof-of-Concept-Exploit für CVE-2026-64638: reflektiertes XSS im WordPress-Login, verkettet mit DOM Clobbering, zur Übernahme des Admin-Kontos und Remote-Code-Ausführung.
# XSS2Shell (CVE-2026-64638) WordPress Pre-Auth-XSS-zu-RCE-PoC-Spiegel — WordSec, MIT; für autorisierte Sicherheitstests
- CVE-2026-64638-POCExploit
CVE-2026-64638: WordPress Pre-Auth-XSS → RCE (XSS2Shell) PoC
- XSS2Shell-CVE-2026-64638Exploit
CVE-2026-64638 — WordPress Pre-Auth Reflektiertes XSS → RCE über DOM Clobbering + Diebstahl von Anwendungspasswörtern + REST-API-Plugin-Aktivierung. Dual-Mode-PoC (XSS-Kette & direkt).
- CVE-2026-64638Forschung
Technische Analyse und defensive Abschwächung für eine WordPress-Core-Pre-Auth-XSS-zu-RCE-Kette, einschließlich Sanitizer-Bypass, DOM-Clobbering, JSONP-Missbrauch, Erkennungssignaturen und Patchen.
Nuclei-Template zur nicht-intrusiven Erkennung von XSS2Shell, einem vorauthentifizierten Differential-Parser im WordPress Core, der die Injektion von DOM-Elementen in die Login-Seite ermöglicht und als Grundlage für eine XSS → RCE-Kette dient.
- xss2shell-checkErkennung
Nicht-destruktiver Detektor für CVE-2026-64638 (XSS2Shell) — WordPress Pre-Auth-XSS-Reflexions-Primitiv
Generiert eine selbstübermittelnde HTML-Trigger-Seite, die eine reflektierte HTML-Injection im WordPress-Login (CVE-2026-64638) ausnutzt, um ein benutzerdefiniertes Banner anzuzeigen – für autorisierte Sicherheitstests.
- XSS2ShellExploit
Nutzt eine Pre-Auth-XSS-Schwachstelle in WordPress (CVE-2026-64638) aus, um Remote-Codeausführung zu erlangen, und installiert eine AES-verschlüsselte Backdoor-Webshell mit Persistenz, Datei-Upload, Reverse-Shell und Stealth-Optionen für autorisierte Red-Team-Einsätze.
XSS2Shell: WordPress-Preauth-XSS-zu-RCE-Kette (CVE-2026-64638)
- poc-CVE-2026-64638-Exploit
PoC-Exploit-Kette für WordPress-Pre-Auth-XSS zu RCE über DOM-Clobbering, REST-JSONP/SOME und Plugin-Upload, mit Docker-Lab-Verifizierung und interaktiver Shell.
- CVE-2026-64638-PoC-ExploitExploit
🛡️ CVE-2026-64638 - WordPress Security Assessment Suite (CVSS 8.9) | WordPress 4.7.0-7.0.2 Pentest-Toolkit. Enthält Module zur Schwachstellenbewertung und erweiterten Analyse. 🐍 Safe Check & Exploit, 2 Modi. Erweitertes Blue&Red Team Best 2026-64638 Toolkit, nur für autorisierte Nutzung. Bleibt legal <3zd
CVE-2026-64638
Funktionaler PoC für CVE-2026-64638 (XSS2Shell): Pre-Auth-XSS-zu-RCE-Kette in WordPress Core. Docker-Labor + Python-Angriffsserver + technische Analyse und Mitigation.
- CVEX2SHELExploit
CVE-2026-64638 ist eine Pre-Auth Reflected Cross-Site Scripting (XSS)-Schwachstelle in WordPress, die im Jahr 2026 entdeckt wurde. Diese Schwachstelle ermöglicht es Angreifern, schädlichen JavaScript-Code in die WordPress-Loginseite (/wp-login.php) einzuschleusen, ohne dass eine vorherige Authentifizierung erforderlich ist.
- CVE-2026-64638Exploit
CVE-2026-64638 - Entwurf oder TODO
- XSS2ShellPoC
# WordPress Pre-auth XSS zu RCE Exploit PoC (xss2shell & CVE-2026-64638)
- CVE-2026-64638Exploit
Node.js-Exploit für CVE-2026-64638, der einen ngrok-Tunnel zu einem bösartigen Endpunkt ausführt und so Fernzugriff und Post-Exploitation-Kontrolle ermöglicht.
- XSS2Shell-CVE-2026-64638Exploit
Exploitiert CVE-2026-64638, um Cross-Site-Scripting in Shell-Zugriff auf verwundbare Webanwendungen umzuwandeln, und automatisiert die Payload-Zustellung sowie Post-Exploitation.
- 1day-archiveForschung
Technische Tiefenanalysen und Root-Cause-Analysen kürzlich veröffentlichter CVEs – Reverse Engineering von Patches, Erstellung von Proof-of-Concepts und Dokumentation von Exploitation-Techniken im 1-Day-Fenster.
Verantwortungsvoller Umgang
Verwenden Sie Schwachstelleninformationen nur auf Systemen, die Sie besitzen oder zu deren Testen Sie berechtigt sind. Kitploit verlinkt auf öffentliche Forschungsmetadaten und speichert keinen Exploit-Code oder bösartige Payloads.