WordPress XSS2Shell 4.7.0 < 4.7.34 / 4.8.0 < 4.8.29 / 4.9.0 < 4.9.30 / 5.0.0 < 5.0.26 / 5.1.0 < 5.1.23 / 5.2.0 < 5.2.25 / 5.3.0 < 5.3.22 / 5.4.0 < 5.4.20 / 5.5.0 < 5.5.19 / 5.6.0 < 5.6.18 / 5.7.0 < 5.7.16 / 5.8.0 < 5.8.14 / 5.9.0 < 5.9.14 / 6.0.0 < 6.0.13 / 6.1.0 < 6.1.11 / 6.2.0 < 6.2.10 / 6.3.0 < 6.3.9 / 6.4.0 < / 6.5.0 < 6.4.96.5.9 / 6.6.0 < 6.6.6 / 6.7.0 < 6.7.6 / 6.8.0 < 6.8.7 / 6.9.0 < 6.9.6 / 7.0.0<7.0.3登录屏幕 XSS

high Nessus 插件 ID 334528

语言：

简介

远程 Web 服务器上运行的 PHP 应用程序受到跨站脚本漏洞的影响。

描述

远程主机上安装的 WordPress 版本低于 4.7.x 、或 4.8.294.8.x 之前、 5.0.265.0.x4.9.x4.9.30或之前、 5.1.x5.1.23或之前、或之前、 5.2.x5.2.25或之前、 5.4.205.3.225.3.x5.4.x 或之前、 5.5.195.5.x 或之前、 5.6.x5.6.18或之前、 5.7.x 或之前 5.7.16、或5.8.x之前 5.8.14、 6.1.x6.0.136.2.105.9.x6.2.x5.9.146.1.116.0.x 或之前、4.7.34 或6.3.x之前，或6.4.x之前 6.4.9，或6.5.x之前 6.5.9，或6.6.x之前 6.6.6，或6.7.x之前 6.7.6，或6.9.x6.8.76.8.x6.9.6之前，或之前，或之前。7.0.x7.0.36.3.9 因此，该软件受到一个漏洞影响。

- WordPress 容易受到登录屏幕上的一个 pre-auth 反射型 XSS 漏洞的影响。通过由攻击者托管的特别构建的恶意第三方网站，在攻击者无法控制的情况下，此漏洞可升级为 RCE 漏洞。这需要目标受害者的成功社会工程和明确的交互。（CVE-2026-64638）

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

解决方案

升级到 WordPress 版本 / / / 4.9.30 / 6.6.65.8.146.8.76.5.96.4.96.2.105.1.235.4.205.0.265.2.255.6.186.9.66.7.66.3.95.9.145.3.226.1.115.5.196.0.135.7.16 或7.0.3更高版本。4.7.344.8.29