WordPressに認証不要の反射型XSS脆弱性（CVE-2026-64638）が発見された。pwn.aiの研究チームが発見し、2024年8月6日にWordPress 7.0.3でパッチが公開された。影響を受けるのはバージョン4.7以降の全WordPress版である。

この脆弱性は、ソーシャルエンジニアリングで既にログインした管理者が誘導されることで発生する。管理者プロフィールページでJavaScriptが実行され、WordPressのREST JSONPメカニズムを利用した同オリジンリクエストが生成される。このリクエストでApplication Passwordが作成され、管理者に一時的なAPIキーが与えられる。このキーを使ってプラグインアップロード用のnonceを取得し、悪意のあるZIPファイルをサーバーにアップロード可能となる。展開されたプラグイン経由で直接PHPコードを実行できる。

WordPressはパッチの即時適用を推奨している。バージョン4.7以前はパッチが提供されず脆弱性が残るが、これらのバージョンは既に公式サポート外である。strict-dynamic CSPでもこの攻撃経路を防げないため、パッチ以外の保護手段はない。管理者セッションの監視と最小権限原則の適用がリスク軽減に役立つ。