🔍 Resumen técnico

La vulnerabilidad radica en la forma en que WordPress maneja el nombre de usuario en un intento de inicio de sesión fallido.

• La entrada pasa por sanitize_user() y wp_strip_all_tags() (que depende de strip_tags() de PHP).
• El procesamiento posterior con wp_kses_post() permite que ciertos payloads similares a etiquetas que contienen espacios en blanco sobrevivan y se conviertan en elementos DOM activos.
• Estos elementos interactúan con el JavaScript propio de WordPress (user-profile.js) cargado en la página de inicio de sesión.
• Los atacantes pueden aprovechar el comportamiento de la API REST / JSONP y técnicas de mismo origen para escalar aún más.

La ruta completa hacia RCE requiere:

1. Una víctima que ya haya iniciado sesión como Administrador de un solo sitio
2. Interacción explícita (normalmente un clic) con una página controlada por el atacante
3. Que estén habilitadas funciones específicas de WordPress (Contraseñas de aplicación, capacidad de subir plugins, etc.)

⚠️ WordPress señala que la escalada exitosa a RCE depende de condiciones fuera del control total del atacante y requiere ingeniería social.

📦 Versiones afectadas y parcheadas

• Todas las versiones desde la 4.7.0 hasta la 7.0.2 están afectadas.
• Las versiones anteriores a la 4.7 siguen siendo vulnerables, pero quedan fuera del soporte actual de backports.

✅ Mitigación y recomendaciones

🚨 Actualice inmediatamente

• Actualice a WordPress 7.0.3 (o a la versión de seguridad correspondiente de su rama).
• Los sitios con actualizaciones automáticas en segundo plano habilitadas deberían recibir la corrección automáticamente.
• No confíe únicamente en plugins de endurecimiento ni en una CSP como mitigación completa — el parche del núcleo es obligatorio.
• Aconseje a los administradores evitar hacer clic en enlaces no solicitados mientras tengan la sesión iniciada en el panel de WordPress.

📎 Referencias oficiales

• Aviso de seguridad de GitHub
  GHSA-52p2-r8wf-jcrf

• Lanzamiento de WordPress 7.0.3
  wordpress.org/news/2026/08/wordpress-7-0-3-release/

• Análisis técnico
  The Hacker News – Nuevo XSS pre-auth en WordPress