WordPress 7.1.1、Click2Shellを修正　悪用手法の詳細も公開

管理者が細工されたリンクを開く条件

BleepingComputerは、Click2ShellがWordPress Coreにあるクロスサイト・リクエスト・フォージェリ（CSRF、利用者のブラウザーに意図しない操作をさせる脆弱性）だと伝えた。
この攻撃連鎖では、ログイン済みの管理者が細工されたURLを開くと、脆弱なテーマが導入され、そのPHPコードがサーバー上で実行され得るという。
記事によれば、WordPressはバージョン7.1.1でこの問題を修正した。

報道によると、今回の問題はWordPress Core 7.1.0以前に存在し、バージョン7.1.1の公開前まで影響していた。

報道によると、WordPress 7.1.1でCoreの問題が修正され、Click2Shellの技術的な詳細と概念実証（PoC）も公開された。

修正版と公開された概念実証の両方があるとされる問題だ。
報道上、攻撃者自身のWordPressアカウントや管理者権限は不要だが、ログイン済み管理者がリンクを開くという条件がある。