用途：评估独立验证过的 WordPress 行为能否组成一条通往未授权文件执行的路径。它不因 CORS、XML-RPC、注册或上传方法存在就假定可利用。
适用时机：凭据型 CORS 暴露非公开数据；XML-RPC 返回协议有效的方法列表；已批准的测试身份具备上传角色；插件或核心上传操作可能接受可执行文件；评估明确允许改变状态的上传与执行测试。
前提：每一步改变状态操作都有明确授权；已批准合成账号与测试站点或一次性内容；CORS 的浏览器证据；协议有效的 XML-RPC 证据；确认的角色能力与上传路径；无害测试工件与清理流程。
流程：先建证据矩阵，任何前提仍属推断即停止。用 hunt-cors 证明不可信来源能以已批准会话读取非公开数据。分类 XML-RPC 时发送： curl -sS --max-time 15 -X POST "$TARGET/xmlrpc.php" -H 'Content-Type: text/xml' --data-binary '<methodCall><methodName>system.listMethods</methodName></methodCall>' -o "$OUTPUT_DIR/xmlrpc-methods.xml" 要求返回有效 methodResponse；方法存在不代表当前身份可调用。仅用已批准测试身份确认角色与所需 upload_files 或插件能力，默认订阅者注册通常无上传能力。在明确授权下，上传唯一命名的惰性文本或图片，记录方法、身份、响应、媒体 ID 与最终 URL，验证内容与类型后删除并记录清理。执行是独立前提，需确认上传目录是否执行相关文件类型、能否绕过扩展名或 MIME 校验、插件处理器是否移动工件；使用测试环境批准的无害标记，不部署命令 shell。
限制与坑：公开 REST 用户数据可能不提供凭据或特权身份；XML-RPC 是功能，方法存在不是授权绕过；订阅者与客户角色通常不能上传任意文件；上传被接受不等于可执行存储；插件版本匹配不等于存在漏洞路由与前提；多个中等置信信号相加不构成高置信链。