Saltar al contenido
DUPIN
ALERTAS · EN VIVO
Contacto

EXPLOIT PÚBLICO

CVE-2026-64638 Cross-site scripting (XSS) reflejado en WordPress

WordPress es vulnerable a XSS reflejado sin autenticación previa en la pantalla de inicio de sesión. Mediante un sitio de terceros malicioso controlado por el atacante, esto puede escalarse a ejecución remota de código bajo condiciones fuera del control del atacante, y requiere ingeniería social exitosa e interacción explícita de la víctima. Afecta a todas las versiones de WordPress; la versión 7.0.3 contiene la corrección, que además fue retroportada a todas las ramas hasta 4.7.

Alerta de Nureq Monitor

Detectada 21 OCT · 04:42

CVSS 4.0

8.9ALTA

PROBABILIDAD DE EXPLOTACIÓN (EPSS)

0,9 % PERCENTIL 59

EXPLOTACIÓN ACTIVA

No confirmada

EXPLOIT PÚBLICO

Sí 1 REPOSITORIO

Qué es CVE-2026-64638

WordPress es vulnerable a XSS reflejado sin autenticación previa en la pantalla de inicio de sesión. Mediante un sitio de terceros malicioso controlado por el atacante, esto puede escalarse a ejecución remota de código bajo condiciones fuera del control del atacante, y requiere ingeniería social exitosa e interacción explícita de la víctima. Afecta a todas las versiones de WordPress; la versión 7.0.3 contiene la corrección, que además fue retroportada a todas las ramas hasta 4.7.

Productos y versiones afectadas

  • WordPress

    Versiones no especificadas.

Qué hacer

  1. Verificá si usás WordPress.
  2. Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
  3. Priorizá la corrección: hay código de explotación público, así que el riesgo de ataque es alto.
  4. Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.

Exploits y pruebas de concepto públicas

Código publicado por terceros. Puede ser malicioso: revisalo solo en un entorno aislado.

Calculadora CVSS

CVSS 4.0 · 8.9 ALTA

CVSS:4.0/AV:N/AC:H/AT:N/PR:N/UI:A/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H

VECTOR DE ATAQUE (AV)
Red
COMPLEJIDAD DEL ATAQUE (AC)
Alta
REQUISITOS DEL ATAQUE (AT)
Ninguno
PRIVILEGIOS REQUERIDOS (PR)
Ninguno
INTERACCIÓN DEL USUARIO (UI)
Activa
CONFIDENCIALIDAD (SISTEMA VULNERABLE) (VC)
Alta
INTEGRIDAD (SISTEMA VULNERABLE) (VI)
Alta
DISPONIBILIDAD (SISTEMA VULNERABLE) (VA)
Alta
CONFIDENCIALIDAD (SISTEMAS POSTERIORES) (SC)
Alta
INTEGRIDAD (SISTEMAS POSTERIORES) (SI)
Alta
DISPONIBILIDAD (SISTEMAS POSTERIORES) (SA)
Alta

Abrir la calculadora completa

Descripción original

WordPress is vulnerable to a pre-auth reflected XSS vulnerability on the login screen. Via a specially crafted malicious third-party website hosted by an attacker, it is possible for this to be escalated to an RCE vulnerability with conditions outside of the attackers control. This requires successful social engineering of and explicit interaction by the target victim. This issue affects all versions of WordPress. Version 7.0.3 has been released, containing a fix for the vulnerability, and as a courtesy to users on older branches the fix has been backported to all branches back to 4.7. Discovered and responsibly disclosed by [the team at pwn.ai](https://pwn.ai/).

Referencias

Historial de la alerta

  1. EXPLOIT PÚBLICO Se publicó el repositorio alisalive/xss2shell.

CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.