【已复现】WordPress 核心主题预览缺陷可导致 RCE 漏洞（Click2Shell）

松杨网络安全资料库

2026年9月21日 16:16
广东

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

WordPress 核心主题预览功能存在安全缺陷，特制链接可触发主题自动安装与预览。该缺陷与部分第三方主题中缺少校验的 AJAX 安装器结合后，可实现服务器端 PHP 代码执行。

漏洞被命名为 Click2Shell。攻击者无需拥有站点账号，但需要诱导已登录且具备主题安装权限的管理员访问恶意链接。

利用前置条件：

• 管理员已登录 WordPress 后台，并访问攻击者构造的链接（UI:R）
• 目标站点 WordPress 版本低于 7.1.1
• 站点上存在带有同类 AJAX 安装缺陷的主题（未激活亦可，且可由本漏洞自行安装）

完成端到端复现，最终取得 Web 进程权限下的命令执行回显。本文包含完整影响范围、修复方案、技术原理与复现细节。

漏洞概述

01 漏洞影响范围

受影响的 WordPress 核心版本：

WordPress < 7.1.1

含 7.1.0、7.0.x 及 6.x 各分支；官方已将补丁回移至所有受支持分支（低至 4.7），需按分支打对应安全版本。

需要注意的是，漏洞能否最终转化为代码执行，取决于两个条件同时成立：

02 修复建议

正式防护方案

升级 WordPress 至 7.1.1 或更高版本。

官方未提供配置层面的缓解开关，升级是唯一的根治方式。

仅升级核心还不够

缓解措施

在无法立即升级的窗口期，可采取以下措施降低暴露面：

03 漏洞描述

近期，安全研究团队公开了 WordPress 核心中的一处主题预览缺陷，并将其命名为 Click2Shell。主题预览逻辑将 URL 中的主题标识未经转义拼接到 jQuery 选择器中，攻击者可改变选择目标，使页面自动触发安装操作。官方补丁对输入进行选择器转义，并限制匹配对象为主题卡片。

第一跳：同一个值，被两处解读成两种东西

主题安装器支持 /wp-admin/theme-install.php?theme=THEME_SLUG这样的路由。该值在 wp-admin/js/theme.js中被当作 slug，先交给服务端查目录，再原样拼成前端选择器：

self.view.collection.once( 'query:success', function() {
    $( 'div[data-slug=\"' + slug + '\"]' ).trigger( 'click' );
});

取 payload mobile-repair-zone\"]>*>*>*/*，拆开看它拼出来的选择器：

于是 .trigger('click')点到的不再是主题卡片，而是卡片内部的真实 Install 控件。关键在于：这次点击由 WordPress 自己的 JavaScript 发起，使用的是管理员自己的 nonce 与 install_themes能力，攻击者全程没有账号。

第二跳：未激活的主题，PHP 照样会执行

WordPress 的 Customizer 在准备预览时，会加载目标主题的 functions.php，哪怕该主题并未激活：

/wp-admin/admin-ajax.php?wp_customize=on&customize_theme=mobile-repair-zone

mobile-repair-zone借此注册了一个 AJAX 处理器，其回调直接消费攻击者可控的 POST 参数：

function mobile_repair_zone_install_and_activate_plugin() {
    $post_plugin_details = $_POST['plugin_details'];
    $plugin_url          = $post_plugin_details['plugin_url'];
    ...
}

三个缺陷叠加在一起：

后续链条为：wp_safe_remote_get()拉包 → 写入 plugins 目录 → unzip_file()解包 → activate_plugin()触发 include。代码最终以站点 PHP 进程权限执行，可能导致站点数据泄露、内容篡改及站点被接管。

官方补丁

改动位于 wp-admin/js/theme.js，作两处收紧（changeset 63664）：

// 修复前
$( 'div[data-slug=\"' + slug + '\"]' ).trigger( 'click' );

// 修复后（WordPress 7.1.1）
$( 'div.theme[data-slug=\"' + $.escapeSelector( slug ) + '\"]' ).trigger( 'click' );

一是限定匹配对象必须是真实的 div.theme卡片，二是用 $.escapeSelector()转义 URL 派生值。注入的引号、组合器与注释语法全部退化为字面量，选择器再也走不进 Install 控件。

04 漏洞复现

我们在自有授权靶场构造并发送对应 Payload，成功验证该漏洞可导致远程代码执行，最终取得目标站点的命令执行能力。

复现环境

复现过程与结果如下图所示。

05 排查与核查

请求侧

• theme-install.php请求中 theme参数出现 \"]、>、*、/*等选择器语法字符
• admin-ajax.php同时带 wp_customize=on与 customize_theme=的请求，尤其是 action=为插件安装类动作的

文件侧

• wp-content/themes/下出现从未由管理员安装过的主题目录
• wp-content/uploads/下出现可执行 PHP 文件
• wp_options.active_plugins中出现陌生条目

06 参考链接

https://wordpress.org/news/2026/09/wordpress-7-1-1-maintenance-and-security-release/

https://wordpress.org/documentation/wordpress-version/version-7-1-1/

https://core.trac.wordpress.org/changeset/63664

https://pwn.ai/blog/click2shell