Pre-auth reflected XSS on login screen with potential to lead to PHP code execution

CVSS 8.91 Quelle

Beschreibung

WordPress ist anfällig für eine Pre-Auth-reflektierte XSS-Schwachstelle auf dem Anmeldebildschirm. Über eine speziell gestaltete bösartige Website eines Drittanbieters, die von einem Angreifer gehostet wird, kann dies zu einer RCE-Schwachstelle mit Bedingungen außerhalb der Kontrolle des Angreifers eskaliert werden. Dies erfordert erfolgreiches Social Engineering und explizite Interaktion durch das Zielopfer. Dieses Problem betrifft alle Versionen von WordPress. Version 7.0.3 wurde veröffentlicht, die einen Fix für die Sicherheitsanfälligkeit enthält, und als Höflichkeit für Benutzer älterer Zweige wurde der Fix auf alle Zweige zurück zu 4.7 portiert. Entdeckt und verantwortungsvoll bekannt gegeben von [dem Team unter pwn.ai](https://pwn.ai/). Vollständige Informationen zum WordPress 7.0.3-Release finden Sie hier: https://wordpress.org/news/2026/08/wordpress-7-0-3-release/.

HerstellerWordPress.org

ProduktWordPress

ProduktfamilieKeine Angaben

Betroffene Versionen7.0.0 – 7.0.2, 6.9.0 – 6.9.5, 6.8.0 – 6.8.6, 6.7.0 – 6.7.5, 6.6.0 – 6.6.5, 6.5.0 – 6.5.8, 6.4.0 – 6.4.8, 6.3.0 – 6.3.8, 6.2.0 – 6.2.9, 6.1.0 – 6.1.10, 6.0.0 – 6.0.12, 5.9.0 – 5.9.13, 5.8.0 – 5.8.13, 5.7.0 – 5.7.15, 5.6.0 – 5.6.17, 5.5.0 – 5.5.18, 5.4.0 – 5.4.19, 5.3.0 – 5.3.21, 5.2.0 – 5.2.24, 5.1.0 – 5.1.22, 5.0.0 – 5.0.25, 4.9.0 – 4.9.29, 4.8.0 – 4.8.28, 4.7.0 – 4.7.33

Behobene Versionen7.0.3, 6.9.6, 6.8.7, 6.7.6, 6.6.6, 6.5.9, 6.4.9, 6.3.9, 6.2.10, 6.1.11, 6.0.13, 5.9.14, 5.8.14, 5.7.16, 5.6.18, 5.5.19, 5.4.20, 5.3.22, 5.2.25, 5.1.23, 5.0.26, 4.9.30, 4.8.29, 4.7.34

Nachvollziehbarkeit

Quellen & weiterführende Informationen

Hier werden ausschließlich tatsächlich zu dieser Schwachstelle gespeicherte Quellenbelege angezeigt.

WordPress Security Releases · Veröffentlichung öffnen ↗

KI-gestützt · ohne Gewährleistung

Was ist zur Behebung zu tun?

Auf eine behobene Version aktualisieren: 7.0.3, 6.9.6, 6.8.7, 6.7.6, 6.6.6, 6.5.9, 6.4.9, 6.3.9, 6.2.10, 6.1.11, 6.0.13, 5.9.14, 5.8.14, 5.7.16, 5.6.18, 5.5.19, 5.4.20, 5.3.22, 5.2.25, 5.1.23, 5.0.26, 4.9.30, 4.8.29, 4.7.34.

PrioritätGelb

EinordnungZeitnah behandeln: hohes technisches Risiko.

Empfohlene Schritte

Betroffene Systeme identifizieren: WordPress.org WordPress.
Exposition prüfen: Internet-Erreichbarkeit, Admin-Oberflächen, VPN, Mail- oder Webdienste.
Update/Rollout auf behobene Version vorbereiten und priorisiert einspielen.
Nacharbeiten dokumentieren: betroffene Assets, Maßnahme, Zeitpunkt, Restrestrisiko.

Übergangsmaßnahmen

Zugriff auf betroffene Dienste auf vertrauenswürdige Netze einschränken.
WAF/IDS/EDR-Regeln und Hersteller-IOCs aktivieren, sofern verfügbar.
Nicht benötigte Funktionen, Plugins oder Dienste temporär deaktivieren.
Administrative Zugänge besonders absichern: MFA, Passwortrotation, Session-Invalidierung.

WordPress Security Releases NVD MITRE CVE CISA KEV Suche Web-Recherche