5月10日消息，全球知名的开源建站程序WordPress 于2016 年5 ⽉6 号发布新版本4.5.2，其中修了⼀ 个反射型XSS 漏洞(https://www.seebug.org/vuldb/ssvid-91515)，直接影响4.2.0 ⾄4.5.1 版本。该反射型XSS 源 于WordPress ⼀个处理媒体的插件MediaElement，攻击者能够构 造恶意Payload，使之解析媒体⽂件时触发XSS。

通过XSS恶意攻击者可以通过劫取Cookie等方式通过向网站管理员发送一个自身运营的网站的特殊网址，从而获取网站的控制权限，进而可能控制网站服务器。

目前WordPress 4.2.0-4.5.1均存在该漏洞，网站管理员可通过升级WordPress版本到4.5.2版本即可，同时亦可以选择使用创宇盾防护，在漏洞分布后，知道创宇云安全旗下云防御产品创宇盾已经第一时间发布了虚拟补丁，使用创宇盾的客户不受此漏洞影响。

在由知道创宇漏洞情报团队在运营的ZoomEye网络空间搜索引擎上发现全球有约12 万个使⽤了WordPress 的站点，这一漏洞或许将在黑客圈引起狂欢。