WordPress 6.4.2发布更新解决高危远程代码执行漏洞

WordPress 发布了 6.4.2 版本，其中包含一个针对关键安全漏洞的补丁，该漏洞可能被威胁者利用，将其与另一个漏洞结合起来，在易受攻击的网站上执行任意 PHP 代码。

WordPress官网发布公告称：“这是一个无法在核心中直接利用的远程代码执行漏洞；但是，安全团队认为，与某些插件结合使用时，特别是在多站点安装中，可能会导致严重的安全漏洞。 ”

根据WordPress安全公司Wordfence 的说法，该问题根源于wordpress6.4版本中引入的 WP_HTML_Token类，该类旨在改进块编辑器中的 HTML 解析。

威胁参与者能够利用任何其他插件或主题中存在的PHP对象注入漏洞来链接两个问题以执行任意代码并夺取目标站点的控制权。

Wordfence此前在2023年9月指出：“如果通过目标系统上安装的附加插件或主题存在POP [面向属性的编程¹]链，则攻击者可能可以删除任意文件、检索敏感数据或执行代码。” 。

在 Patchstack 发布的类似公告中，该公司表示，自 11 月 17 日起，漏洞利用链已在 GitHub 上提供²，并添加到 PHP Generic Gadget Chains ( PHPGGC ) 项目中。建议用户手动检查其网站以确保其更新到最新版本。

“如果您是开发人员，并且您的任何项目包含对反序列化函数的函数调用，我们强烈建议您将其替换为其他内容，例如使用 json_encode 和 json_decode PHP 函数进行 JSON 编码/解码，”Patchstack 首席技术官 Dave Jong说道。

引用参考：

1. https://dl.acm.org/doi/10.1145/2660267.2660363 ↩︎
2. https://github.com/ambionics/phpggc/tree/master/gadgetchains/WordPress/RCE ↩︎