WordPress 发布 7.0.3 紧急更新！修复高危 XSS2Shell 漏洞

　　系统之家 8 月 17 日最新消息，WordPress 官方发布 7.0.3 版本，紧急修复编号为 CVE-2026-64638 的高风险跨站脚本漏洞‘XSS2Shell’。WordPress 称所有版本均受影响，建议立即升级并核查异常账号、应用密码及插件记录。

　　系统之家参考通报获悉，“XSS2Shell”漏洞存在于 WordPress 登录流程。当用户使用不存在的账号名称尝试登录时，WordPress 会将输入内容带入错误提示信息。由于前后两道 HTML 过滤机制对异常标签的解析方式存在差异，原本应该被过滤掉的恶意内容可能被保留下来，并被浏览器解析为有效的 HTML 元素，从而形成跨站脚本攻击。

　　不过，仅利用这一漏洞并不能直接控制服务器。攻击者还需要进一步利用 WordPress 登录页面现有的 JavaScript、REST API，以及浏览器允许同一网站来源页面相互访问的机制，在受害网站的域名下执行由攻击者控制的操作。

　　如果受害者当时已经以管理员身份登录，攻击者便可能借用其现有登录状态执行管理操作，例如获取 WordPress 应用程序密码，并利用该权限创建包含恶意 JavaScript 的页面。随后，攻击者还可以继续利用管理员的登录状态上传包含 PHP 代码的恶意插件，最终在服务器上执行代码。因此，CVE-2026-64638 的完整攻击链仍需要结合社会工程学钓鱼手段，诱导已经登录且拥有足够权限的用户访问或操作恶意内容，才能进一步从登录页面的跨站脚本漏洞扩大至服务器端代码执行。

　　系统推荐

　　1. 如果你是日常工作学习使用，家庭版是大部分电脑出厂预装的系统，可以满足你的日常使用需求，推荐你下载：Windows 11 25H2 中文家庭版（前往下载）

　　2. 真正纯净的 Windows 11 专业版系统，安装完成以后不捆绑软件，系统占用小，推荐你下载：Windows 11 25H2 纯净专业版系统（前往下载）

　　3. 拥有五年超长生命周期支持的养老版，不频繁更新补丁，适合对稳定性要求高的企业用户。推荐你下载：Win11 24H2 LTSC 2024 企业版（前往下载）

　　4. 拥有超强的性能，专为“干重活”的专业用户设计（例如 CAD、动画、媒体制作者、图形设计团队等等），推荐你下载：Windows 11 25H2 专业工作站版（前往下载）

　　5. 支持远程桌面主机、组策略管理等高级功能，适合对安全性、管理性和专业性有更高需求的用户。推荐你下载：Windows 11 25H2 专业版（前往下载）

　　以上是系统之家提供的最新资讯，感谢您的阅读，更多精彩内容请关注系统之家官网。