2026-11-02 14:48:05 网络安全文章来源：ZONE.CI 全球网 0 阅读模式

WordPress不登录也能写配置漏洞藏在升级临时目录

YGnight
YGnight

night安全

2026年11月2日 10:31
四川

去阅读

一、漏洞描述

升级本来是站点的自保动作，这次它自己开了一个口子。


编号	没有 CVE。GitHub 公告 GHSA-4w3m-c66w-69mg 于 10 月 29 日发布，cve\_id 一栏为空
什么洞	升级途中解压出来的那份临时代码能从外网访问，里面自带的安装程序可以被直接打开
出错的地方	wp-admin/includes/class-wp-upgrader.php 里的 unpack\_package，加 update-core.php 里的 update\_core
什么情况会中	正在跑完整包核心升级，后台自动更新算在内，wp-content/upgrade 能被外网访问且跑得动 PHP，请求赶在清理那一步之前到达
中招会怎样	安装程序按提交上来的数据库信息写一份 wp-config.php，这份配置跟着搬进正式站点，站点从此读的是对方那个库
影响范围	4.7 到 7.1.3。4.6 及更早没有补丁，官方只维护最新一个大版本
修到哪个版本	7.1.4，其余分支从 7.0.8 一路排到 4.7.39，一共 25 个小版本
打分	Wordfence 给 CVSS 8.1 并强调攻击复杂度高，Patchstack 同样标 AC:H，GitHub 公告只标 low，三套口径不一致
现成脚本	截至 10 月 30 日，GitHub、X、Exploit-DB、Nuclei 模板库与 Metasploit 待合并请求里都没有公开利用代码，出自 ThreatWire 的检索
在野情况	Wordfence 的拦截规则 10 月 28 日 20 点 30 分上线，九分钟后第一次命中，21 小时记到 18,500 多次请求，未报告成功拿站的案例

22 个问题里，只有这一条不需要登录。

两个主要来源对着小批站点连扫约 14.5 小时，其余来源换着目录名和版本号试，扫的是升级那一刻的窗口，不是某个固定路径。

二、漏洞原理

完整包升级开始后，WordPress 先把整份新代码解压到 wp-content/upgrade 下面的一个目录，再往站点根目录搬。

中间这段，新代码是能直接访问到的。

// wp-admin/includes/class-wp-upgrader.php 7.1.3 修复前
$upgrade\_folder = $wp\_filesystem->wp\_content\_dir() . 'upgrade/';

// Clean up contents of upgrade directory beforehand.
$upgrade\_files = $wp\_filesystem->dirlist( $upgrade\_folder );
if ( ! empty( $upgrade\_files ) ) {
foreach ( $upgrade\_files as $file ) {
$wp\_filesystem->delete( $upgrade\_folder . $file['name'], true );
}
}

$working\_dir = $upgrade\_folder . basename( basename( $package, '.tmp' ), '.zip' );

目录名取自安装包的文件名，前面是包名加版本号，后面跟 6 位随机字符，那是下载时生成的临时文件带出来的。

省事的路子在索引上。

清理这一趟把目录清空，核心自己又不往这里放 index.php。服务器开着目录索引，那个带随机后缀的目录名就摆在页面上了。

完整包里带着安装程序 wp-admin/setup-config.php。

直接请求这个地址，WordPress 本体不加载，插件不加载，安全插件一样不加载。它只是一份能跑的 PHP，按提交上来的数据库信息写 wp-config.php。

库是攻击者自己的，写出来的配置也就听他的。

窗口只有几秒。Wordfence 在实验室量到的可用时间就是几秒，扫描方因此改成反复轮询，等升级自己开始。

搬文件那一步，update\_core 手里有一份跳过名单。

// wp-admin/includes/update-core.php 7.1.3 修复前
$skip = array( 'wp-content', 'wp-includes/version.php' );

// 7.1.4 修复后，wp-config.php 进名单
$skip = array( 'wp-content', 'wp-includes/version.php', 'wp-config.php' );

wp-content 与 version.php 在名单里，wp-config.php 不在。临时副本里那份配置会被一起搬进正式站点。

站点从此读对方的库。

补丁一共改动三处，全在这两个文件里。

// wp-admin/includes/class-wp-upgrader.php 7.1.4 修复后
private function get\_working\_dir\_name( $package ) {
$name = basename( basename( $package, '.tmp' ), '.zip' );
return $name . '-' . wp\_generate\_password( 16, false );
}

foreach ( $upgrade\_files as $file ) {
if ( 'index.php' === $file['name'] ) {
continue;
}
$wp\_filesystem->delete( $upgrade\_folder . $file['name'], true );
}

if ( ! $wp\_filesystem->exists( $upgrade\_folder . 'index.php' ) ) {
$wp\_filesystem->put\_contents( $upgrade\_folder . 'index.php', \"<?php\
// Silence is golden.\
\", FS\_CHMOD\_FILE );
}

随机位从 6 位加到 16 位，清理跳过 index.php 并在缺的时候补一份，wp-config.php 写进跳过名单。