WordPress Click2Shell 漏洞可致RCE，已修复

资讯专家

漏洞概况
WordPress 在 7.1.1 版本中修复了 11 个漏洞，其中一个被命名为 Click2Shell，暂未分配 CVE 编号。该漏洞可能被用于远程代码执行（RCE）。WordPress 上周发布了这批补丁。

利用方式
WordPress 公告称，攻击者可通过特制 URL 利用该漏洞，自动安装并预览未启用主题。问题根源在于主题预览 URL 中的值在 themes API 和管理员浏览器 JavaScript 中的解释不一致：API 会将其规整为普通主题 slug，浏览器则保留原始标点，并将其放入 jQuery selector。这样，未认证攻击者可诱使管理员站点在不知情或未同意的情况下，从 WordPress.org 官方目录拉取并安装攻击者指定的主题。

RCE 条件
pwn.ai 发现并报告了该漏洞。其分析指出，未启用主题并非无害：WordPress 在 Customizer 预览期间会加载第三方主题的 PHP 代码，即使另一个主题处于启用状态。pwn.ai 发现 WordPress 上超过 40 个第三方主题可在未启用状态下被滥用来执行 PHP 代码。攻击者可利用这些主题中未受保护的安装器，在 WordPress 服务器账户权限下执行特制插件包。pwn.ai 表示，攻击者不需要拥有 WordPress 账户，只要已登录用户访问一次恶意链接，攻击者即可控制站点。

风险与修复
另一个风险是，利用过程中站点主主题仍保持启用，管理员可能不会注意到异常行为。pwn.ai 已公布技术细节和 PoC。WordPress 在 7.1.1 中修复 Click2Shell 和另外 10 个漏洞，并向 pwn.ai 支付 300 美元奖励，这是其最高漏洞赏金金额。相关修复也包含在旧版 WordPress 更新中，最远回溯到 WordPress 4.7。