WordPress corrige XSS2Shell, una falla previa al login con ruta hacia ejecución PHP

La vulnerabilidad CVE-2026-64638, denominada XSS2Shell por sus descubridores, permite que un atacante inserte elementos controlados en el aviso de error de wp-login.php. La diferencia entre dos rutinas de sanitización hace que una entrada tratada inicialmente como texto vuelva a interpretarse como HTML permitido.

El XSS no requiere una cuenta. La investigación mostró que el JavaScript puede ejecutarse bajo el origen del sitio cuando una víctima abre contenido preparado por el atacante. WordPress publicó la corrección en la versión 7.0.3 y distribuyó backports para las ramas compatibles.

pwn.ai encadenó el fallo con funcionalidades legítimas de WordPress para crear una Application Password dentro de la sesión de un administrador, utilizar la API REST, cargar un archivo ZIP como complemento y solicitar directamente el PHP extraído. La demostración completa se realizó en un entorno controlado.

La escalada no es automática: requiere que un administrador con sesión activa interactúe con contenido del atacante y que el sitio permita las operaciones necesarias. No existe evidencia pública de explotación activa al momento de la divulgación, por lo que el riesgo debe comunicarse sin convertir la prueba de laboratorio en un incidente confirmado.