В WordPress закрыли серьёзную отражённую XSS-уязвимость на странице авторизации, которая присутствует во всех версиях CMS. Проблема не требует аутентификации, а в определённых условиях позволяет выполнить произвольный PHP-код на сервере.

Исследователи нашли способ превратить классический XSS в полноценную RCE, что выводит баг за рамки простого кражи куки или подмены контента. Для эксплуатации требуются специфические условия серверного окружения, но при их совпадении уязвимость становится критической.

Разработчики уже выпустили патч, который закрывает дыру в механизме обработки параметров на странице входа. Администраторам настоятельно рекомендуют обновить ядро WordPress до последней версии, так как автоматические обновления могут не покрыть все инсталляции.

Учитывая масштаб популярности WordPress, количество потенциально уязвимых сайтов исчисляется миллионами. Вероятно, в ближайшее время стоит ожидать появления эксплойтов в открытом доступе, поэтому затягивать с обновлением не стоит.