🔍 Resumo Técnico

A vulnerabilidade existe na forma como o WordPress lida com o nome de usuário em uma tentativa de login com falha.

• A entrada passa por sanitize_user() e wp_strip_all_tags() (que depende do strip_tags() do PHP).
• O processamento posterior com wp_kses_post() permite que certos payloads semelhantes a tags contendo espaços em branco sobrevivam e se tornem elementos DOM ativos.
• Esses elementos interagem com o JavaScript do próprio WordPress (user-profile.js) carregado na página de login.
• Atacantes podem explorar o comportamento da REST API / JSONP e técnicas de mesma origem (same-origin) para escalar ainda mais.

O caminho completo para RCE exige:

1. Uma vítima já autenticada como Administrador de site único
2. Interação explícita (normalmente um clique) com uma página controlada pelo atacante
3. Recursos específicos do WordPress alinhados (Senhas de Aplicativo, capacidade de upload de plugins, etc.)

⚠️ O WordPress observa que a escalada bem-sucedida para RCE depende de condições fora do controle total do atacante e exige engenharia social.

📦 Versões Afetadas e Corrigidas

• Todas as versões de 4.7.0 até 7.0.2 são afetadas.
• Versões anteriores à 4.7 permanecem vulneráveis, mas estão fora do suporte atual de backport.

✅ Mitigação e Recomendações

🚨 Atualize Imediatamente

• Atualize para o WordPress 7.0.3 (ou a versão de segurança correspondente no seu ramo).
• Sites com atualizações automáticas em segundo plano habilitadas devem receber a correção automaticamente.
• Não dependa apenas de plugins de hardening ou CSP como mitigação completa — o patch do núcleo é obrigatório.
• Oriente os administradores a evitar clicar em links não solicitados enquanto estiverem logados no painel do WordPress.

📎 Referências Oficiais

• Aviso de Segurança do GitHub
  GHSA-52p2-r8wf-jcrf

• Lançamento do WordPress 7.0.3
  wordpress.org/news/2026/08/wordpress-7-0-3-release/

• Análise Técnica
  The Hacker News – Novo XSS de Pré-auth no WordPress