Un lien piégé peut forcer WordPress à installer un thème puis exécuter du code

Introduction
Une vulnérabilité dite « Click2Shell » a permis à un attaquant d’exécuter du code sur un serveur WordPress via un thème piégé, mais elle a été corrigée dans la version 7.1.1 publiée le 17 septembre.

• Un administrateur WordPress, simplement en ouvrant un lien malveillant, pouvait installer un thème du répertoire officiel choisi par l’attaquant.
• Si le thème était insuffisamment protégé, l’attaquant obtenait la possibilité d’exécuter du code sur le serveur hébergeant le site.
• La faille a été résolue par l’équipe WordPress avec la mise à jour 7.1.1, recommandée à tous les utilisateurs.