WordPress的Allow PHP in Posts and Pages插件在版本高达及包括3.0.4之前，通过'php'短代码存在远程代码执行漏洞。这允许具有订阅者级别权限或更高的认证攻击者实

此 RCE 漏洞的潜在影响非常严重。攻击者可以利用此漏洞在受影响的 WordPress 站点上执行任意代码，从而完全控制服务器。这可能导致数据泄露、恶意软件安装、网站篡改，甚至整个服务器被攻陷。攻击者可以利用此漏洞窃取敏感数据，例如用户凭据、数据库内容和商业机密。此外，攻击者还可以利用此漏洞作为跳板，进行横向移动，攻击网络中的其他系统。由于 WordPress 广泛使用，此漏洞可能影响大量网站，造成广泛的安全风险。

WordPress websites utilizing the Allow PHP in Posts and Pages plugin, particularly those with subscriber-level users who have access to create or edit posts and pages, are at significant risk. Shared hosting environments where plugin updates are not consistently managed are also particularly vulnerable.

• wordpress / composer / npm:

grep -r 'php shortcode' /var/www/html/wp-content/plugins/allow-php-in-posts-and-pages/

• wordpress / composer / npm:

wp plugin list --status=inactive | grep 'allow-php-in-posts-and-pages'

• wordpress / composer / npm:

wp plugin update allow-php-in-posts-and-pages

1. 2023-09-16Disclosure

   disclosure

1. 已保留2023-09-15
2. 发布日期2023-09-16
3. 修改日期2025-02-05
4. EPSS 更新日期2026-04-02

最有效的缓解措施是立即将 Allow PHP in Posts and Pages 插件升级到最新版本。如果无法立即升级，可以考虑以下临时缓解措施：禁用 'php' 短代码，限制允许上传文件的类型，并加强 WordPress 站点的整体安全配置。使用 Web 应用防火墙 (WAF) 可以帮助检测和阻止恶意请求。监控 WordPress 站点的日志文件，查找可疑活动。如果怀疑已发生入侵，立即进行安全调查并采取必要的补救措施。