XSS

跨站脚本攻击

CVE-2026-32475：Elementor Pro 表单上传未授权 PHP 写入 RCE，全球 10-20 亿次安装的 WordPress 站点面临接管

作者

2026 年 8 月 19 日披露的 Elementor Pro Forms 文件上传组件漏洞 CVE-2026-32475 允许未认证攻击者绕过文件扩展名黑名单，直接向 Web 根目录写入 PHP 文件并执行任意代码，CVSS 9.0-9.8，影响全球数千万 WordPress 站点。

CVE-2026-64638：WordPress 7.0.3 登录页预认证 XSS2Shell 漏洞，管理员一键被攻陷

作者

WordPress 在 8 月 6 日发布的 7.0.3 安全版本中修复了一处 CVSS 8.9 的预认证反射型 XSS 漏洞 CVE-2026-64638。该漏洞位于登录失败页面，影响所有 WordPress 版本，pwn.ai 团队已演示其可被用于获取管理员会话并进一步触发 PHP 代码执行。