WordPress 插件存在高危 RCE 漏洞,仅有 50% 网站修复
PHP Everywhere 是一个开源的 WordPress 插件,近日该插件被披露存在三个严重的安全漏洞,该插件已被全球超过 3 万个网站使用,攻击者可在受影响的网站上利用该漏洞,执行任意代码。 PHP Everywhere 可以随时随地启用 WordPress 上的 PHP 代码,使用户能够在内容管理系统的页面、帖子和侧边栏中插入和执行基于 PHP 的代码,该插件还支持不同的用户限制和多个 PHP 实例。 这三个漏洞在 CVSS 评级系统中都被评为 9.9 分(最高 10 分),影响了 2.0.3 及以下版本,漏洞具体细节如下: CVE-2022-24663 - 该漏洞允许任何经过身份验证的用户通过 parse-media-shortcode AJAX 操作执行简码(shortcode),从而进行远程代码执行(网站上几乎没有权限的登录用户,也可以完全接管网站,即 WordPress 中的订阅者)。 CVE-2022-24664 - 通过 metabox 进行远程代码执行(该漏洞需要 WordPress 贡献者级别的权限,因此严重程度较低)。 CVE-2022-24665 - 通过...








