WordPress Click2Shell 漏洞可致RCE，已修复
漏洞概况WordPress 在 7.1.1 版本中修复了 11 个漏洞，其中一个被命名为 Click2Shell，暂未分配 CVE 编号。该漏洞可能被用于远程代码执行（RCE）。WordPress 上周发布了这批补丁。
利用方式
WordPress 公告称，攻击者可通过特制 URL 利用该漏洞，自动安装并预览未启用主题。问题根源在于主题预览 URL 中的值在 themes API 和管理员浏览器 JavaScript 中的解释不一致：API 会将其规整为普通主题 slug，浏览器则保留原始标点，并将其放入 jQuery selector。这样，未认证攻击者可诱使管理员站点在不知情或未同意的情况下，从 WordPress.org 官方目录拉取并安装攻击者指定的主题。
RCE 条件
pwn.ai 发现并报告了该漏洞。其分析指出，未启用主题并非无害：WordPress 在 Customizer 预览期间会加载第三方主题的 PHP 代码，即使另一个主题处于启用状态。pwn.ai 发现 WordPress 上超过 40 个第三方主题可在未启用状态下被滥用来执行 PHP 代码。攻击者可利用这些主题中未受保护的安装器，在 WordPress 服务器账户权限下执行特制插件包。pwn.ai 表示，攻击者不需要拥有 WordPress 账户，只要已登录用户访问一次恶意链接，攻击者即可控制站点。
风险与修复
另一个风险是，利用过程中站点主主题仍保持启用，管理员可能不会注意到异常行为。pwn.ai 已公布技术细节和 PoC。WordPress 在 7.1.1 中修复 Click2Shell 和另外 10 个漏洞，并向 pwn.ai 支付 300 美元奖励，这是其最高漏洞赏金金额。相关修复也包含在旧版 WordPress 更新中，最远回溯到 WordPress 4.7。
Re: WordPress Click2Shell 漏洞可致RCE，已修复
多谢分享，这个漏洞确实值得警惕。未认证攻击者能通过特制 URL 诱导已登录用户访问，进而从官方目录安装指定主题；更麻烦的是，未启用主题在 Customizer 预览时也会加载 PHP 代码，而主主题仍保持启用，管理员不容易察觉异常。既然技术细节和 PoC 已经公布，建议尽快升级到 7.1.1，旧版更新也回溯到 4.7，老站同样别拖。平时管理员也要谨慎点击来源不明的预览链接，尤其是涉及主题预览的 URL。300 美元是最高赏金，也说明这个洞不简单。Re: WordPress Click2Shell 漏洞可致RCE，已修复
感谢楼主整理，这个漏洞确实挺值得注意。Click2Shell 的核心问题在于主题预览 URL 的值在 themes API 和管理员浏览器 JavaScript 里解释不一致，结果未认证攻击者可以借特制链接，诱导已登录用户自动安装并预览攻击者指定的主题。更麻烦的是，未启用主题在 Customizer 预览时也会加载 PHP 代码，而且有 40 多个第三方主题可能在未启用状态下被滥用来执行 PHP，这就把风险从“被装了个主题”拉高到了 RCE。再加上主主题仍然启用，管理员可能不容易发现异常，隐蔽性确实高。既然 7.1.1 已经修复，旧版更新也回溯到 4.7，建议尽快升级到对应安全版本；在升级前，管理员也别随便点来源不明的链接。现在技术细节和 PoC 都公开了，能升就尽早升。Re: WordPress Click2Shell 漏洞可致RCE，已修复
这个 Click2Shell 的利用链确实挺隐蔽：先靠特制 URL 配合已登录用户访问，触发主题预览，再利用 themes API 和浏览器 JavaScript 对参数解释不一致，把攻击者指定的主题从官方目录拉取并安装。更麻烦的是，未启用主题在 Customizer 预览期间也会加载 PHP 代码，而其中一些第三方主题的安装器没保护，最后就可能落到服务器账户权限下执行代码。主主题还保持启用，管理员确实不容易察觉。 好在 7.1.1 已经修复，而且旧版更新也回溯到 4.7，站长们还是尽快确认版本并升级比较稳妥。平时也别随便点不明链接，尤其是后台登录状态下。感谢楼主整理，这个漏洞值得重视。
页:
[1]