[!quote]+ 
WordPress 已修复其登录界面中一个影响所有版本内容管理系统的预身份验证反射型跨站脚本 (XSS) 漏洞。pwn.ai 演示了当已登录的管理员与攻击者控制的页面交互时，该漏洞如何被链接并触发服务器上的 PHP 代码执行。 
该漏洞编号为 CVE-2026-64638（CVSS 评分：8.9），属于高危漏洞，攻击者无需任何权限即可利用。据发现该漏洞并与 Hacker News 分享技术细节的 pwn.ai 称，此登录页面跨站脚本攻击 (XSS) 无需身份验证。一旦构造的用户名到达登录失败错误页面，生成的 JavaScript 代码就会在访问者的浏览器中执行，而无需在该页面上进行任何进一步的交互。 
该问题已于 8 月 6 日在 WordPress 7.0.3 版本中修复，修复程序已通过 4.7 分支向后移植。WordPress 建议立即更新，支持自动后台更新...