安全公司Cyllective的一名研究人员在数十个WordPress插件中发现了漏洞，影响了数以万计的安装。领导Cyllective渗透测试团队的Dave Miller说，他们开始测试随机选择的插件，很快就发现了一个未经身份验证的SQL注入漏洞。他们还发现了一系列本地文件包含和远程代码执行(RCE)漏洞。然而，由于这些问题是在严重过时的插件中发现的，因此团队决定将精力集中在过去两年收到更新的插件上——总共大约5000个插件。

研究人员特别寻找未经身份验证的SQL注入漏洞，使用标签系统来识别显示与WordPress数据库交互的插件；类SQL字符串中的字符串插值；与消毒尝试有关的安全措施；和暴露未经身份验证的端点。

Miller说，经过三个月的研究，结果共有35个漏洞，所有这些漏洞都可能被未经身份验证的攻击者利用，影响了大约 60500个运行受影响的WordPress插件的实例。

“虽然我报告的绝大多数漏洞都是未经身份验证的SQL注入漏洞，这将使攻击者能够转储整个WordPress数据库内容，但这些并不是最具破坏性的漏洞，”Miller说。

“sitemap-by-click5插件存在未经身份验证的任意选项更新漏洞，这将允许攻击者恶意启用注册功能并将默认用户角色设置为管理员。”

他说，这实质上将允许未经身份验证的攻击者创建一个新的管理员帐户并接管WordPress实例。而且，从那里，攻击者将能够上传恶意PHP文件，这将授予攻击者作为低权限用户在底层服务器上远程执行代码的能力。

Miller说，通过更多的工程设计，团队的标签策略可以用来修复除SQL注入漏洞之外的缺陷。

“需要开发新的模式来捕捉漏洞类别的细节，以便能够检测到它们，”他说。“但是，使用这种方法很难甚至无法检测到某些漏洞类别。”

Miller说，尽管发现了大量漏洞，但披露过程进展顺利，团队在发现每个漏洞时都会报告 - 有时每天多达四五个。

“WPScan[一个WordPress安全供应商] 及时协调了所有相关方——研究人员、插件作者和WordPress插件团队——之间的沟通过程，”他说。

而且，他补充说，该团队仍在研究更多插件，发现并负责任地披露了更多漏洞。

“安全最终是插件开发人员的责任，插件团队尽其所能鼓励这一点，”WordPress发言人说。

“为此，插件作者在将插件提交到目录之前可以参考指南。所有开发人员都应遵守这些准则。此外，他们还拥有一本涵盖安全最佳实践的插件手册。”