PHP Everywhere 是一个开源的 WordPress 插件，它容许 WordPress 管理员在页面、帖子、侧边栏或任何 Gutenberg 块中插入 PHP 代码，并应用它来显示基于评估的 PHP 表达式的动静内容。
近日 Wordfence 平安研究员发现 PHP Everywhere 存在三个 RCE 破绽，三个破绽的 CVSS 评分全都达到 9.9（最高分 10 分），将会影响 2.0.3 及后续所有 WordPress 版本。它们是 CVE-2022-24663、CVE-2022-24664 和 CVE-2022-24665。
目前寰球有超过 3 万个网站应用该插件，攻击者能够利用该插件在受影响的零碎上执行任意代码，大量 WP 网站面临危险。
三个破绽的简短形容如下：
- CVE-2022-24663 – 近程代码执行破绽，任何订阅者都能够利用该破绽发送带有“短代码”参数设置为 PHP Everywhere 的申请，并在站点上执行任意 PHP 代码。
- CVE-2022-24664 – 贡献者能够通过插件的元框利用的近程代码执行破绽。攻击者会创立一个帖子，增加一个 PHP 代码元框，而后预览它。
- CVE-2022-24665 – 具备“edit_posts”性能以应用 Gutenberg 块的贡献者能够利用的近程代码执行破绽。易受攻击的插件版本的默认平安设置不是“仅限管理员”。
WordPress 所属公司 Wordfence 示意已在 1 月 4 日将问题告知该插件的作者 Alexander Fuchs，随后在 1 月 12 日公布新版本 3.0.0，齐全删除了易受攻击代码。
该插件的更新阐明页面指出，“3.0.0 版本的更新具备重大变动，删除了 PHP Everywhere 短代码和小部件。运行插件设置页面的降级程序，将旧代码迁徙至 Gutenberg 块。”
值得注意的是，3.0.0 版本仅反对通过块编辑器的 PHP 代码片段，这意味着依赖于经典编辑器的用户必须卸载该插件并抉择另一种应用自定义 PHP 代码的解决方案。