Une vulnérabilité critique affectant WordPress a été découverte par le cabinet de sécurité pwn.ai. Repérée sous le nom de Click2Shell, cette faille permet à un attaquant de forcer l’installation d’un thème officiel à l’insu d’un administrateur, simplement en l’incitant à cliquer sur un lien malveillant. Combinée à un second défaut présent dans certains thèmes tiers, la faille débouche sur l’exécution arbitraire de code sur le serveur.
Le mécanisme repose sur une manipulation de l’URL /wp-admin/theme-install.php. En injectant des caractères spéciaux dans le paramètre du thème, l’attaquant contourne le filtrage du système. Le navigateur non protégé interprète alors ces caractères dans un sélecteur jQuery, ce qui déclenche automatiquement le clic sur le bouton d’installation et transmet le jeton valide sans avoir à le dérober.
L’attaque nécessite toutefois que la victime dispose des droits administrateur et qu’elle maintienne une session active. Une fois le thème téléchargé, les chercheurs ont exploité un second vecteur via le Customizer et un gestionnaire AJAX mal protégé d’un ancien thème tiers. Cette brèche permet de télécharger un fichier arbitraire et d’exécuter des instructions malveillantes sous l’identité du serveur web.
L’équipe de développement de WordPress a colmaté ces failles avec la publication de la version 7.1.1, tout en rétroportant le correctif jusqu’aux anciennes branches du CMS. Le correctif modifie le traitement des paramètres dans le sélecteur d’installation pour bloquer toute exécution de script non sollicitée. Les administrateurs ayant activé les mises à jour automatiques bénéficient déjà du patch, tandis que les autres sites nécessitent une mise à jour manuelle urgente depuis le tableau de bord.
