安全研究员Paulos Yibelo发现的黑客攻击依赖于滥用同源方法执行。此技术使用JSON填充来调用函数。这种情况可能允许入侵WordPress帐户，但只能通过添加跨站点脚本(XSS)漏洞利用，而研究人员目前还没有这种漏洞。

Yibelo说还没有尝试在实时站点上使用这种技巧，将漏洞利用限制在他们自己拥有的测试研究站点上。

“我没有真正尝试过，因为它需要登录的WordPress用户或管理员才能访问我的网站，所以我安装了插件并进行了HTML 注入——这是非法的，”Yibelo解释说，并补充说他们没有尝试也可以在漏洞赏金网站上利用该漏洞。

研究人员补充说，他们三个月前通过HackerOne将其报告给了WordPress。在未能得到回复后，Yibelo通过一篇技术博文将调查结果公开。

在两种情况下可能会发生攻击：

• 1.不直接使用WordPress但在同域或子域上具有WordPress端点的网站。
• 2.托管在WordPress上且具有CSP标头的网站。

正如Yibelo的博客文章所解释的那样，潜在的影响是严重的：

如果攻击者使用此漏洞在主域（例如：website1.com – 不是 WordPress）中发现HTML注入漏洞，他们可以使用WordPress端点将无用的HTML注入升级为可以升级执行的完整XSS[远程代码执行]RCE。这意味着在网站上的任何地方都有WordPress违背了拥有安全CSP的目的。

Yibelo总结道：“我希望Wordpress修复它，以便CSP在托管WordPress端点的网站上保持相关性。”

内容安全策略是网站设置并被浏览器使用的一种技术，可以阻止外部资源并防止XSS攻击。