通过同源方法执行绕过 CSP 的新型攻击向量(WordPress 零日漏洞)

CVE-2026-93485 是 WordPress 核心 wpautop() 渲染逻辑中的未认证存储型 XSS：攻击者提交构造评论后，在块主题渲染时页面加载即触发零点击 XSS，并可借管理员会话上传插件升级为 RCE。该漏洞已在 WordPress 7.1.1 修复并回溯支持至 4.7.36 分支。

该漏洞影响 4.7.0 至 7.1.0 之间的所有 WordPress 版本，无需身份凭证且仅需管理员浏览即可实现全自动 RCE。各组织应尽快升级到 7.1.1 或官方回迁修复补丁，并在网关和主机侧监控异常评论提交及非常规插件上传行为。

文章详解如何将 XSS、CSP 绕过与 Electron 配置缺陷串成利用链，在 Discord Desktop 客户端实现完整远程代码执行，并总结 Electron 应用加固经验。

HackerOne 博客（原页面已无法访问）统计：一年内组织为 XSS、不当访问控制、信息泄露、SSRF 等 10 类获赏最多的漏洞类型累计向黑客支付约 2350 万美元赏金。

HackerOne 公布 h1-415 CTF 获胜者 p4fg 与 manoelt，两人将赴旧金山参加线下黑客活动。该挑战模拟联合创始人 Jobert Abma 账户失窃：共处理 4,700 万次请求，35 人完成账户接管、18 人绕过 CSP、14 人通关。

Aikido 撰文论述“SQL 注入远未消亡”：7 月 WordPress 核心因 SQL 注入导致未认证 RCE 而紧急发布补丁（修复版本 7.0.2 / 6.9.5）。文章引用 GitHub Advisory 数据指出 SQLi 报告量连年上升，并讨论了 RASP 运行时防护、AI 渗透测试等应对思路。