WordPress 7.1.1 corrige Click2Shell : un lien installe un thème

WordPress a publié la version 7.1.1 le 17 septembre 2026, une mise à jour de maintenance et de sécurité qui contient, selon le projet, 17 corrections dans le cœur, 19 dans l'éditeur de blocs et 11 correctifs de sécurité. L'un des points de cette liste indique : "Des URL spécialement conçues peuvent installer et prévisualiser automatiquement un thème inactif depuis WordPress.org, signalé par Paulos Yibelo et pwn.ai".

Le lendemain, le 18 septembre, la société de sécurité pwn.ai a publié son analyse technique et donné un nom à la faille : Click2Shell. Selon son récit, deux composants lisent le même lien différemment. L'API des thèmes de WordPress.org ramène la valeur d'une URL de prévisualisation à un identifiant ordinaire du catalogue et renvoie un vrai thème ; le navigateur de l'administrateur, lui, conserve la ponctuation d'origine et la place dans un sélecteur jQuery. Les caractères ajoutés par l'attaquant amènent le JavaScript de WordPress à déclencher le bouton d'installation, et comme l'administrateur est déjà connecté, c'est sa session qui fournit l'autorisation et le jeton. Le thème installé reste désactivé, précise pwn.ai, et l'apparence du site ne change pas.

Parvenir à l'exécution de code a nécessité une seconde faille. Un thème inactif n'est pas dormant : WordPress peut charger son code PHP pendant la préparation d'un aperçu dans l'outil de personnalisation. Le thème utilisé par pwn.ai, Mobile Repair Zone 2.5.4, enregistrait un gestionnaire d'arrière-plan qui, selon la société, fonctionnait "sans nonce ni vérification des droits", "acceptait une adresse de paquet d'extension choisie par l'attaquant, la décompressait et chargeait son PHP". Enchaîné après l'installation forcée, ce gestionnaire a exécuté le code des chercheurs sur le serveur.

Les deux parties ne s'accordent pas sur la gravité. pwn.ai a classé l'installation forcée seule en niveau élevé, CVSS 3.1 7,1, et la chaîne complète démontrée en critique, CVSS 3.1 9,3, en notant que l'interaction utilisateur requise abaisse l'impact. The Hacker News a rapporté le chiffre des chercheurs pour la chaîne complète à 9,6, et WordPress n'a publié aucune évaluation. Aucun identifiant CVE n'existait lors de la divulgation ; pwn.ai indique que WordPress lui en a annoncé un. Aucun signe d'exploitation réelle n'a été relevé, écrit The Hacker News.

WordPress a corrigé le sélecteur dans le changeset 63664 en l'échappant. Le projet précise que les correctifs sont rétroportés, si nécessaire, vers toutes les branches encore éligibles, aujourd'hui jusqu'à la 4.7, et que ces rétroportages "sont en cours et seront livrés au fur et à mesure" : certains sites sur d'anciennes branches attendent donc encore. D'après The Hacker News, aucune des deux parties n'a proposé de contournement ; mettre à jour le cœur est le remède, et l'attaque exige toujours qu'un administrateur connecté ouvre le lien. pwn.ai a signalé la faille le 22 août et a reçu la prime maximale de WordPress, 300 dollars. La société a indiqué que le travail avait été mené avec "notre banc de test maison, Claude Opus 5 et un humain en collaboration".

Transparence : le processus éditorial de NewUJ utilise les modèles Claude d'Anthropic.