WordPress是WordPress Foundation开发和维护的一款开源内容管理系统（CMS）。
近日，监测到WordPress Core XSS2Shell预认证XSS远程代码执行漏洞（CVE-2026-64638），该漏洞源于登录失败流程中strip_tags()与KSES对用户名的解析差异：strip_tags()对< 后带空格不识别为标签而放行，KSES 却将其重解析为合法HTML，导致DOM注入。攻击者注入的DOM被登录页加载的user-profile.js自动交互，通过DOM Clobbering劫持ajaxurl并借助REST JSONP执行任意JS。若管理员已登录，可进一步利用SOME技术窃取Application Password，最终上传恶意插件实现RCE。
建议受影响用户做好资产自查以及预防工作，以免遭受黑客攻击。
二、影响范围
6.4 <= WordPress Core <= 7.0.2
三、修复建议
官方已发布安全补丁，请及时更新至安全版本。
WordPress Core >= 7.0.3
