Click2Shell: как один клик может взломать WordPress

Обсуждали с коллегами статью про уязвимость Click2Shell в WordPress 7.1.1 — она позволяет через один клик получить полный доступ к сайту, если админ перейдёт по вредоносной ссылке. Исправлена в обновлении от 17 сентября.

Суть в том, что WordPress обрабатывает один и тот же параметр в URL по-разному: на сервере он очищается, а на фронтенде — вставляется прямо в код без проверки. Атакующий создаёт ссылку с поддельным названием темы, которая при клике устанавливает вредоносную тему, а потом — через уязвимый обработчик — загружает и запускает любой плагин с сервера. Всё это без учётных данных, но только если админ сам перейдёт по ссылке.

Считаю, что это не «драйв-бай» — как может показаться из описания. Требуется либо фишинг, либо уже существующий XSS. Но даже так — риски серьёзные: если админ заражён, сайт может быть взломан за минуту. Особенно если на сайте включена установка тем и плагинов.

Уже начал проверять у клиентов: у кого стоит 7.1.0 или ниже — ставлю обновление в план на неделю. У тех, кто на 7.1.1 — проверяю, нет ли подозрительных тем или плагинов в списке. Скорее всего, это будет не последняя уязвимость в этой линейке, но как минимум — закрываю одну из самых опасных.