WordPress 修補 Click2Shell 漏洞　特製連結可令管理員瀏覽器自動裝主題

WordPress 發布安全更新 7.1.1，修補核心軟件一組新漏洞。安全公司 pwn.ai 將其中一條攻擊鏈命名為 Click2Shell：攻擊者製作特別的網站連結，已登入的管理員一旦開啟，瀏覽器會在無人點擊下自動從 WordPress.org 目錄安裝指定主題。該漏洞單獨存在時只會強制安裝主題，但研究團隊示範可與主題本身的另一項弱點串連，在伺服器上執行攻擊者的代碼。

同一條連結，兩種解讀

漏洞成因在於 WordPress 兩個部分對同一條連結有不同解讀。WordPress.org 目錄將連結內的值當成普通主題名稱，返回一個真實主題；管理員瀏覽器則把連結原文連標點一併帶入用於選取頁面元素的代碼，攻擊者在連結中加入的字符會令該代碼指向 Install 按鈕，再由 WordPress 自家腳本完成點擊。由於管理員本身已登入，工作階段會自動提供安裝所需的權限及安全權杖，攻擊者兩者都毋須提供。

被強制安裝的主題會維持停用狀態，網站外觀不變，管理員難以察覺。不過 pwn.ai 指出，WordPress 在 Customizer 建立預覽時，可載入主題的 PHP 代碼，主題即使未啟用亦非完全靜止。研究人員示範時使用的主題 Mobile Repair Zone 帶有另一項弱點：其背景處理器會從請求中讀取網址、下載套件並執行代碼，過程不檢查訪客權限或安全權杖。強制安裝之後串連此弱點，攻擊者的代碼便能在伺服器上運行。

嚴重程度與修復範圍

pwn.ai 將強制安裝漏洞單獨評為高嚴重度，CVSS 7.1 分，完整串連至代碼執行的攻擊鏈則評為 9.6，屬嚴重級別。WordPress 未有自行發布嚴重度評級，僅在更新說明中描述為「特製 URL 可自動安裝及預覽 WordPress.org 上停用的主題」，CVE 編號尚未分配，pwn.ai 稱 WordPress 計劃補上。

修復隨 9 月 17 日發布的 WordPress 7.1.1推出，屬安全更新，修復範圍覆蓋 4.7 起的受支援分支；說明確認 6.0 至修復前的版本均受影響。設有自動更新的網站會自行接收更新，WordPress 呼籲站主盡快升級至 7.1.1 或所屬分支的對應版本。官方與 pwn.ai 均未提供獨立 workaround，而攻擊始終需要已登入管理員開啟攻擊者的連結，升級核心即可封閉已示範的攻擊路徑。

數月內第二宗核心漏洞

Click2Shell 並非 pwn.ai 近期發現的首宗 WordPress 核心漏洞。8 月，WordPress 修補了該公司在登入畫面發現、同樣可串連至代碼執行的類似漏洞；7 月披露的另一宗核心漏洞 wp2shell 則與該公司無關，該漏洞毋須登入亦毋須點擊，已被美國網絡安全機構 CISA 列為實際攻擊中遭利用，Click2Shell 則暫未見實際攻擊跡象。

資料來源：The Hacker News