文章总结： 本文分析WordPress核心CVE-2026-93485未认证存储型XSS漏洞，可升级为RCE。漏洞源于wpautop()正则不感知引号导致过滤器级联变换，攻击者可通过评论零点击触发。影响4.7至7.1版本，官方已发布修复。建议立即升级、排查异常文件、关闭评论审核，并部署WAF拦截恶意评论。
综合评分： 90
文章分类： 漏洞分析,WEB安全,代码审计,应急响应,安全工具

CVE-2026-93485 | WordPress Comment2Shell存储型XSS可导致RCE漏洞（POC）

alicy
alicy

信安百科

2026年9月29日 09:00
河北

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

免责声明：本文漏洞技术细节均来源于公开可查证的安全研究资料，仅用于安全研究与防御加固参考，不构成任何攻击指引。

#

0x00、前言

WordPress 驱动着全球超过 43% 的网站，是最广泛部署的内容管理系统，其核心代码的任何缺陷都可能波及数百万站点。

2026 年 9 月 17 日，WordPress 发布 7.1.1 安全与维护版本，一次性修复 11 个安全问题，其中最受瞩目的是核心函数 wpautop() 的未认证存储型 XSS 漏洞（CVE-2026-93485）。

发现者 Rafie Muhammad 最初将其命名为 Comment2Shell，后应 WordPress 维护者要求更名为 Comment2XSS——以强调 RCE 只是”潜在”升级路径。

攻击者只需留下一条看似无害的匿名评论，脚本便会在页面加载瞬间零点击触发，若管理员恰好访问，服务器可能被完整接管。

#

0x01、漏洞描述

漏洞根源是评论”保存时消毒、展示时重排“两阶段的语义错位：

保存阶段由 KSES 按白名单消毒，展示阶段由 comment_text 过滤链重写 HTML。

攻击者在白名单允许的 blockquote 的 cite 属性中放入换行符，展示阶段 wpautop() 将其替换为自带 > 字符的占位注释，其不感知引号语境的正则在属性值内部提前截断、注入 <p>；叠加 wptexturize() 的引号转换差异，攻击者文本最终被浏览器解析为 onfocus 等真实事件属性。

利用条件：评论须出现在页面上（默认配置存在多条绕过审核的路径）；触发零点击；升级 RCE 需登录管理员访问该页面。

#

0x02、CVE 编号

| 项目 | 内容 |
| — | — |
| CVE 编号 | CVE-2026-93485（Comment2XSS，初名 Comment2Shell） |
| 漏洞类型 | 未认证存储型 XSS（CWE-79），可升级至潜在 RCE |
| CVSS 评分 | 7.1 / HIGH（CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:L） |
| 受影响组件 | WordPress Core —— wpautop()（wp-includes/formatting.php） |

#

0x03、影响版本

该漏洞影响 WordPress 4.7 至 7.1 的全部 25 个受支持版本分支，修复已回移至最老的 4.7.36。各分支修复版本如下：

注意：WordPress 官方仅积极支持最新主版本，旧分支只接收安全回移；开启自动后台更新的站点已自动完成升级。7.1.1 同时修复了另外 10 个安全问题，但此漏洞是其中唯一无需任何账号即可触达的。

#

0x04、漏洞详情

4.1 两阶段处理与过滤器链

用户可以评论形式提交原始 HTML，但 wp-includes/kses.php 的白名单只放行七类标签：a、abbr、acronym、blockquote[cite]、del[datetime]、q[cite] 和 code。展示阶段，评论文本依次经过 comment_text 上注册的六个过滤器，每个都会重写 HTML——漏洞正藏于这些重写的级联之中：

// wp-includes/default-filters.php:225-230
add_filter( 'comment_text', 'wptexturize' );      // 直引号→弯引号
add_filter( 'comment_text', 'convert_chars' );
add_filter( 'comment_text', 'make_clickable', 9 );
add_filter( 'comment_text', 'force_balance_tags', 25 );
add_filter( 'comment_text', 'convert_smilies', 20 );
add_filter( 'comment_text', 'wpautop', 30 );      // 换行转段落（漏洞核心）

4.2 五步级联变换：从良性 HTML 到活的事件属性

研究者指出：”这次利用的关键正是 blockquote 的 cite 属性中的换行符（\n），它引发了过滤器的不安全级联变换。”完整变换链如下：

提交: <blockquote cite="a\nb"><code>x" onfocus=alert(document.domain) autofocus tabindex=0</code></blockquote>
(1) KSES 放行 —— blockquote[cite] 在白名单内，\n 不在再编码映射中
(2) wpautop(): 标签内换行→占位注释 cite="a <!-- wpnl --> b"
(3) wpautop(): 正则 <p><blockquote([^>]*)> 在占位注释的 > 处提前截断
&nbsp; &nbsp; <p> 被写入 cite 属性内部 → cite="a<p> b"
(4) wptexturize(): 注入的 <p> 形成标签边界，cite 收尾引号→&#8221;
&nbsp; &nbsp; <code> 内引号因豁免规则原样保留
(5) 浏览器最终解析:
&nbsp; &nbsp; <blockquote cite="a<p> b&#8221;><code>x" onfocus=alert(document.domain) autofocus tabindex=0</code></p></blockquote>
&nbsp; &nbsp; onfocus / autofocus / tabindex 成为真实属性，页面加载即触发，零点击

（代码较长，可左右滑动查看完整内容）

各步骤要点：

第 1 步，KSES 的属性再编码映射只覆盖 &、<、>、’、” 五个语法字符，换行符不在其中，因此cite="a\nb"或其编码形式cite="a
b"均可入库。

第 2 步，wpautop() 把标签内换行替换为占位注释<!-- wpnl -->——正如 Patchstack 所评：”WordPress 自己供给了攻击所需的 > 字符。”

第 3 步是致命一环：wpautop() 为 blockquote 前置空行并包上<p>，随后用正则|<p><blockquote([^>]*)>|i把<p>移入 blockquote 内部，但捕获组[^>]*无法跨越>，在占位注释处提前截断，<p>被直接写进 cite 属性值中间。

第 4 步，块主题默认经get_the_block_template_html()调用 wptexturize()（部分经典主题如 Twenty Twenty-One 经the_content()同样调用）；注入的<p>成了标签边界，cite 的收尾引号被当作普通文本转为弯引号实体，而<code>内的引号因豁免列表（pre、code、kbd、style、script、tt）原样幸存。

第 5 步，浏览器将 onfocus、autofocus、tabindex 解析为 blockquote 的真实属性——autofocus 使元素在页面加载中获得焦点，onfocus 随即自动触发，全程无需任何点击。研究者强调：换行与引号缺一不可。

4.3 从 XSS 到 RCE：插件上传的最后一跃

事件处理器在页面加载者的会话中运行。若来访者是登录管理员，脚本即可触达插件安装器——上传端点检查的 upload_plugins 能力会被映射为管理员持有的 install_plugins。这是从管理员上下文 XSS 到服务器代码执行的已知通路：

[1] fetch 读取 plugin-install.php?tab=upload 页面，提取表单中的 _wpnonce
[2] 内存构建单文件插件 zip，内嵌 PHP 命令执行逻辑
[3] FormData 携带 nonce 与 zip，POST 至 update.php?action=upload-plugin
[4] 无需激活：插件文件已落盘，路径可直接访问，参数即待执行命令

（代码较长，可左右滑动查看完整内容）

研究者特别指出：恶意插件甚至无需激活——文件已写入磁盘，插件路径可直接访问，web shell 立即应答。这也是当初命名 Comment2Shell、后依维护者建议改为 Comment2XSS 的原因：XSS 已获完整验证，RCE 则是通过已知通路可达的”潜在”结果。

4.4 一行补丁：让正则感知引号

修复仅改动一行——将 <p><blockquote> 重写正则升级为引号感知子模式，使其能够跨越引号属性值内部的 >：

// 修复前（WordPress <= 7.1），wp-includes/formatting.php:563
$text = preg_replace( '|<p><blockquote([^>]*)>|i', '<blockquote$1><p>', $text );
// 修复后（WordPress 7.1.1）—— 引号感知子模式
$text = preg_replace( '!<p><blockquote((?:[^>"\']|"[^"]*"|\'[^\']*\')*)>!i', '<blockquote$1><p>', $text );

（代码较长，可左右滑动查看完整内容）

新子模式 (?:[^>"\']|"[^"]*"|\'[^\']*\')* 允许捕获完整跨越引号值内的 >，<p> 落在真正闭合标签的 > 之后；正则分隔符由 | 改为 !，因子模式自身已含 |。一行即够，因为这处重写是 wpautop() 中唯一向标签内部插入内容的位置。

0x05、个人观察与判断

1、对设计缺陷的点评：wpautop() 是核心里唯一不解析 HTML、纯靠正则改写标记的内容过滤器，正则不感知引号语境出事只是时间问题。Patchstack 的评价一针见血——结构性 API（如 HTML Tag Processor）才是正道。

2、对行业趋势的思考：WordPress 核心今年接连曝出 wp2shell、XSS2Shell、Click2Shell 到 Comment2XSS，”匿名注入 + 管理员会话 + 插件上传”已成标准化 RCE 公式，核心渲染管线的审计价值高于插件生态。

3、可落地的排查建议：立即升级到所在分支修复版；排查 wp-content/plugins 下陌生目录与近期新增 PHP 文件；暂无法升级时全站关闭评论并开启全量人工审核；WAF 可拦截 cite 属性含换行的评论提交。

#

0x06、参考链接

1、https://idnsec.com/research/comment2shell-zero-click-pre-auth-xss-to-rce-in-wordpress-core/

研究者 Rafie Muhammad 原始技术分析（核心技术分析）

2、https://wordpress.org/news/2026/09/wordpress-7-1-1-maintenance-and-security-release/

WordPress 官方 7.1.1 安全与维护版本公告（厂商公告）

3、https://www.patchstack.com/articles/wordpress-7-1-1-maintenance-and-security-release/

Patchstack 版本分析与修复解读（CNA 官方解读）

— END —

❤ 如果觉得有帮助，点个红心支持一下吧。

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：信安百科 alicy
alicy《CVE-2026-93485 | WordPress Comment2Shell存储型XSS可导致RCE漏洞（POC）》