PHP Everywhere 是一个开放源码的 WordPress 插件，近日该插件被公布存有三个比较严重的安全性漏洞，该插件已被全世界超出 3 万只网站应用，网络攻击可在受影响的网站上运用该漏洞，实行随意代码。
PHP Everywhere 可以随时开启 WordPress 上的 PHP 代码，使客户可以在内容管理系统的网页页面、贴子和侧栏中插进和实行根据 PHP 的代码，该插件还适用不一样的客户限定和好几个 PHP 案例。
这三个漏洞在 CVSS 评分系统软件中被评选为 9.9 分(最大 10 分)，危害了 2.0.3 及下列版本，漏洞实际关键点如下所示：
- CVE-2022-24663 - 该漏洞容许一切通过身份认证的消费者根据 parse-media-shortcode AJAX 实际操作实行简码(shortcode)，进而开展远程控制代码实行(网站上几乎沒有管理权限的登陆客户，还可以彻底接手网站，即 WordPress 中的定阅者)。
- CVE-2022-24664 - 根据 metabox 开展远程控制代码实行(该漏洞必须 WordPress 推动者等级的管理权限，因而比较严重程度低)。
- CVE-2022-24665 - 根据 gutenberg 块开展远程控制代码实行(一样必须 WordPress 推动者等级的管理权限)
假如网站存有这三个漏洞，网络黑客将可以使用他们并实行虚假的 PHP 代码，乃至可以完成对网站的彻底接手。
WordPress 安全性企业 Wordfence 在 1 月 4 日就向该插件的创作者 Alexander Fuchs 公布了以上这种漏洞，接着在 1 月 12 日公布了 3.0.0 版本的刷新中，已彻底删除了有漏洞的代码。
PHP Everywhere 的升级表明显示：
这一插件的 3.0.0 版本升级具备重要转变，移除开 PHP Everywhere 的简码和小组件。从该插件的安装网页页面运作更新指导，将你的旧代码转移到 Gutenberg 块。
必须留意的是，3.0.0 版本只适用根据块编辑软件(Block editor)的 PHP 代码精彩片段，这促使依然依靠經典编辑软件的客户务必卸载掉该插件，并下载一个取代解决方法来代管自定 PHP 代码。
依据 WordPress 的数据统计表明，自修补不正确至今，现阶段仅有 1.5 万只网站升级了该插件。
文中转自OSCHINA
本文文章标题：WordPress 插件存有高风险 RCE 漏洞，仅有 50% 网站修补
文中详细地址：https://www.oschina.net/news/182099/php-everywhere-wordpress-plugin-bug