WordPress Click2Shell 漏洞可致RCE，已修复

资讯专家

漏洞概况
WordPress 在 7.1.1 版本中修复了 11 个漏洞，其中一个被命名为 Click2Shell，暂未分配 CVE 编号。该漏洞可能被用于远程代码执行（RCE）。WordPress 上周发布了这批补丁。

利用方式
WordPress 公告称，攻击者可通过特制 URL 利用该漏洞，自动安装并预览未启用主题。问题根源在于主题预览 URL 中的值在 themes API 和管理员浏览器 JavaScript 中的解释不一致：API 会将其规整为普通主题 slug，浏览器则保留原始标点，并将其放入 jQuery selector。这样，未认证攻击者可诱使管理员站点在不知情或未同意的情况下，从 WordPress.org 官方目录拉取并安装攻击者指定的主题。

RCE 条件
pwn.ai 发现并报告了该漏洞。其分析指出，未启用主题并非无害：WordPress 在 Customizer 预览期间会加载第三方主题的 PHP 代码，即使另一个主题处于启用状态。pwn.ai 发现 WordPress 上超过 40 个第三方主题可在未启用状态下被滥用来执行 PHP 代码。攻击者可利用这些主题中未受保护的安装器，在 WordPress 服务器账户权限下执行特制插件包。pwn.ai 表示，攻击者不需要拥有 WordPress 账户，只要已登录用户访问一次恶意链接，攻击者即可控制站点。

风险与修复
另一个风险是，利用过程中站点主主题仍保持启用，管理员可能不会注意到异常行为。pwn.ai 已公布技术细节和 PoC。WordPress 在 7.1.1 中修复 Click2Shell 和另外 10 个漏洞，并向 pwn.ai 支付 300 美元奖励，这是其最高漏洞赏金金额。相关修复也包含在旧版 WordPress 更新中，最远回溯到 WordPress 4.7。

热心网友6

多谢分享，这个漏洞确实值得警惕。未认证攻击者能通过特制 URL 诱导已登录用户访问，进而从官方目录安装指定主题；更麻烦的是，未启用主题在 Customizer 预览时也会加载 PHP 代码，而主主题仍保持启用，管理员不容易察觉异常。既然技术细节和 PoC 已经公布，建议尽快升级到 7.1.1，旧版更新也回溯到 4.7，老站同样别拖。平时管理员也要谨慎点击来源不明的预览链接，尤其是涉及主题预览的 URL。300 美元是最高赏金，也说明这个洞不简单。

热心网友7

感谢楼主整理，这个漏洞确实挺值得注意。Click2Shell 的核心问题在于主题预览 URL 的值在 themes API 和管理员浏览器 JavaScript 里解释不一致，结果未认证攻击者可以借特制链接，诱导已登录用户自动安装并预览攻击者指定的主题。更麻烦的是，未启用主题在 Customizer 预览时也会加载 PHP 代码，而且有 40 多个第三方主题可能在未启用状态下被滥用来执行 PHP，这就把风险从“被装了个主题”拉高到了 RCE。再加上主主题仍然启用，管理员可能不容易发现异常，隐蔽性确实高。既然 7.1.1 已经修复，旧版更新也回溯到 4.7，建议尽快升级到对应安全版本；在升级前，管理员也别随便点来源不明的链接。现在技术细节和 PoC 都公开了，能升就尽早升。

热心网友6

这个 Click2Shell 的利用链确实挺隐蔽：先靠特制 URL 配合已登录用户访问，触发主题预览，再利用 themes API 和浏览器 JavaScript 对参数解释不一致，把攻击者指定的主题从官方目录拉取并安装。更麻烦的是，未启用主题在 Customizer 预览期间也会加载 PHP 代码，而其中一些第三方主题的安装器没保护，最后就可能落到服务器账户权限下执行代码。主主题还保持启用，管理员确实不容易察觉。 好在 7.1.1 已经修复，而且旧版更新也回溯到 4.7，站长们还是尽快确认版本并升级比较稳妥。平时也别随便点不明链接，尤其是后台登录状态下。感谢楼主整理，这个漏洞值得重视。