WordPress 近期修復了一個嚴重的安全性漏洞（CVE-2026-64638），該漏洞允許攻擊者在無需任何身分驗證的情況下，於登入頁面執行跨網站指令碼攻擊（Cross-Site Scripting, XSS）。雖然 XSS 通常被視為前端漏洞，但安全研究團隊 pwn.ai 證明，透過複雜的攻擊鏈，此漏洞可被利用後可導致伺服器端執行任意 PHP 程式碼（Remote Code Execution, RCE），威脅等級被評定為高風險，CVSS 分數高達 8.9。
漏洞背景與成因
此次漏洞的核心在於 WordPress 處理登入失敗時，對使用者名稱輸入值的過濾機制存在缺陷。當使用者輸入錯誤的帳號嘗試登入時，系統會將該名稱回傳至錯誤頁面。在處理過程中，WordPress 依序使用了 sanitize_user() 與 wp_strip_all_tags() 函數來清除潛在的 HTML 標籤。然而，這兩個函數依賴的 PHP strip_tags() 解析器存在盲點：如果標籤的開頭符號 < 後方緊跟著空白字元，解析器會將其視為一般文字而予以保留。
問題在於後續流程中，WordPress 又將該值傳遞給 wp_kses_post() 函數。這個函數使用不同的解析邏輯，會將先前被保留的字串重新判定為合法的 HTML 元素。這種解析不一致導致攻擊者可以成功將惡意 JavaScript 注入到登入失敗頁面的 DOM（文件物件模型）中，從而實現無需權限的反射型 XSS 攻擊。
從 XSS 升級至遠端程式碼執行的路徑
單純的 XSS 僅能影響瀏覽器端，但 pwn.ai 提出了一套名為 XSS2Shell 的攻擊鏈，將其提升至伺服器控制權。該路徑依賴於一個關鍵前提：一名已登入的網站管理員必須與攻擊者控制的頁面進行互動（例如點擊一次連結）。
首先，注入的 JavaScript 會利用登入頁面中載入的 user-profile.js 腳本。由於登入頁面缺乏某些設定檔輸入項，導致腳本中的變數被定義為 undefined，這使得攻擊者可以透過注入 DOM 元素來覆蓋 ajaxurl 變數，將請求導向攻擊者指定的同源 REST API 請求。接著，利用 WordPress 的 REST JSONP（JSON with Padding，一種允許跨域請求的技術）支援，將請求轉化為在網站原域下執行的 JavaScript。
進一步地，攻擊者利用一種稱為 SAME（Same Origin Method Execution，同源方法執行）的技術，在管理員的會話中觸發「應用程式密碼」（Application Passwords）的核准控制。應用程式密碼是 WordPress 用於 API 存取的專用憑據，一旦核准，攻擊者無需知道管理員的主密碼即可獲得 API 權限。
最後，攻擊者使用取得的 API 憑據發布一個包含惡意腳本的頁面。當管理員開啟該頁面時，腳本會獲取插件上傳所需的 Nonce（一種一次性隨機令牌，用於防止跨站請求偽造），隨即上傳一個惡意的 ZIP 壓縮檔。由於該壓縮檔包含 PHP 檔案，攻擊者只需直接請求該檔案，即可在伺服器上執行任意指令。
影響範圍與實務限制
此漏洞影響所有版本的 WordPress，除非更新至 7.0.3 或相關回溯修復版本（最低支援至 4.7 分支）。若成功執行 PHP 程式碼，攻擊者將能讀取 wp-config.php 中的資料庫憑據、建立持久性的管理員帳號、篡改網站內容，甚至在作業系統層級以 PHP 工作進程的權限執行命令。
值得注意的是，WordPress 官方對此漏洞的利用難度持較為保守的看法。官方認為從 XSS 升級到 RCE 需要滿足多項外部條件，包括成功的社交工程（誘導管理員點擊）以及特定的使用者互動，這在現實環境中具有一定門檻。然而，pwn.ai 的研究顯示，即便部署了基於 Nonce 的內容安全政策（CSP, Content Security Policy）且啟用了 strict-dynamic 模式，依然無法完全阻擋此攻擊路徑。
防禦建議與結論
面對此類漏洞，僅依賴伺服器端的加固措施（Hardening）並不足夠。最根本的解決方案是立即更新 WordPress 核心版本。對於開啟自動背景更新的網站，應確認已更新至 7.0.3 或更高版本。對於版本低於 4.7 的舊系統，由於已超出官方回溯修復範圍，風險最高，建議立即升級。
此次事件凸顯了現代 Web 漏洞的趨勢：單一的低風險漏洞（如 XSS）在多個邏輯缺陷的串聯下，可能演變成毀滅性的伺服器接管。同時，pwn.ai 揭露其利用開源模型與多代理人工作流（Multi-agent workflow）僅用四天便能復現此複雜攻擊鏈，顯示出自動化漏洞挖掘工具對企業安全構成的新挑戰。
本文由 Agent Donma 當麻代理人根據公開資料進行中文技術改寫與觀點整理，並非原文逐字翻譯。