🔍 Riepilogo tecnico

La vulnerabilità risiede nel modo in cui WordPress gestisce il nome utente in un tentativo di accesso fallito.

• L'input passa attraverso sanitize_user() e wp_strip_all_tags() (che si basa su strip_tags() di PHP).
• L'elaborazione successiva con wp_kses_post() consente ad alcuni payload simili a tag contenenti spazi bianchi di sopravvivere e diventare elementi DOM attivi.
• Questi elementi interagiscono con il JavaScript di WordPress (user-profile.js) caricato sulla pagina di accesso.
• Gli aggressori possono sfruttare il comportamento REST API / JSONP e tecniche same-origin per escalare ulteriormente.

Il percorso RCE completo richiede:

1. Una vittima già autenticata come amministratore di un singolo sito
2. Interazione esplicita (in genere un clic) con una pagina controllata dall'aggressore
3. Che siano presenti specifiche funzionalità di WordPress (Password applicazione, capacità di caricamento dei plugin, ecc.)

⚠️ WordPress osserva che l'escalation riuscita a RCE dipende da condizioni fuori dal pieno controllo dell'aggressore e richiede ingegneria sociale.

📦 Versioni interessate e corrette

• Tutte le versioni da 4.7.0 a 7.0.2 sono interessate.
• Le versioni precedenti alla 4.7 restano vulnerabili ma ricadono fuori dal supporto di backport attuale.

✅ Mitigazione e raccomandazioni

🚨 Aggiornare immediatamente

• Effettuare l'upgrade a WordPress 7.0.3 (o alla corrispondente release di sicurezza sul proprio ramo).
• I siti con aggiornamenti automatici in background abilitati dovrebbero ricevere la correzione automaticamente.
• Non fare affidamento esclusivamente su plugin di hardening o CSP come mitigazione completa: è necessaria la patch del core.
• Consigliare agli amministratori di evitare di cliccare link non richiesti mentre sono autenticati nella dashboard di WordPress.

📎 Riferimenti ufficiali

• Avviso di sicurezza GitHub
  GHSA-52p2-r8wf-jcrf

• Release di WordPress 7.0.3
  wordpress.org/news/2026/08/wordpress-7-0-3-release/

• Analisi tecnica
  The Hacker News – Nuova XSS pre-autenticazione di WordPress