🔍 Техническая сводка

Уязвимость заключается в том, как WordPress обрабатывает имя пользователя при неудачной попытке входа.

• Входные данные проходят через sanitize_user() и wp_strip_all_tags() (которая основана на PHP-функции strip_tags()).
• Последующая обработка с помощью wp_kses_post() позволяет некоторым тегоподобным полезным нагрузкам, содержащим пробелы, выжить и стать живыми DOM-элементами.
• Эти элементы взаимодействуют с собственным JavaScript-кодом WordPress (user-profile.js), загружаемым на странице входа.
• Злоумышленники могут использовать поведение REST API / JSONP и методы same-origin для дальнейшей эскалации.

Полная цепочка RCE требует:

1. Жертвы, уже вошедшей в систему как администратор отдельного сайта
2. Явного взаимодействия (обычно один клик) со страницей, контролируемой злоумышленником
3. Наличия определённых функций WordPress (Application Passwords, возможность загрузки плагинов и т. д.)

⚠️ WordPress отмечает, что успешная эскалация до RCE зависит от условий, не находящихся под полным контролем злоумышленника, и требует социальной инженерии.

📦 Затронутые и исправленные версии

• Затронуты все версии с 4.7.0 по 7.0.2.
• Версии старше 4.7 остаются уязвимыми, но выходят за рамки текущей поддержки бэкпортов.

✅ Смягчение и рекомендации

🚨 Обновитесь немедленно

• Обновитесь до WordPress 7.0.3 (или соответствующего выпуска безопасности для вашей ветки).
• Сайты с включёнными автоматическими фоновыми обновлениями должны получить исправление автоматически.
• Не полагайтесь только на плагины усиления безопасности или CSP как на полное смягчение — требуется патч ядра.
• Рекомендуйте администраторам не переходить по нежелательным ссылкам, пока они авторизованы в панели управления WordPress.

📎 Официальные ссылки

• GitHub Security Advisory
  GHSA-52p2-r8wf-jcrf

• Релиз WordPress 7.0.3
  wordpress.org/news/2026/08/wordpress-7-0-3-release/

• Технический анализ
  The Hacker News – Новый WordPress Pre-Auth XSS