CVE-2026-64638 — XSS2Shell: пред-авторизованный XSS на странице входа WordPress → RCE на сервере

Зеркало дистрибутива HackSpeak. Этот репозиторий является зеркалом образовательного PoC XSS2Shell (CVE-2026-64638), опубликованного WordSec, код идентичен оригиналу; оригинал — MIT License, Copyright (c) 2026 WordSec.

⚠️ Только для исследований безопасности и авторизованного тестирования, запускайте только на сайтах WordPress, которыми вы владеете или на оценку которых имеете письменное разрешение; PoC создаёт и удаляет временные публикации, не направляйте его на сторонних администраторов или производственные системы.

Краткое описание уязвимости

XSS2Shell (CVE-2026-64638) — это отражённый XSS до аутентификации на странице входа WordPress (wp-login.php), который по полной цепочке может быть повышен до выполнения PHP-кода на стороне сервера (RCE).

• Корневая причина: расхождение в разборе между PHP strip_tags() и WordPress KSES (wp_kses_post()) — при вставке пробела между < и именем тега (например, ) первый воспринимает это как обычный текст, а второй разбирает как допустимый HTML-элемент (// — все они в белом списке);