Wordfence研究人员在WordPress ThemeREX Addons插件中发现一个0day漏洞。ThemeREX Addons是一家专门出售商业WordPress主题的公司ThemeREX开发的插件。该插件预装在所有ThemeREX商业主题中，Wordfence预测该插件预装在超过44000个网站上。该插件的作用是帮助ThemeREX产品的购买者设置新站点和控制不同的主题特征。
该0 day漏洞是一个RCE远程代码执行漏洞，影响1.6.50及更高版本，CVSS评分为9.8。
该插件的一个功能就是注册WordPress REST-API终端，但是在注册时，并不会验证该请求是否来自于管理员用户。而且终端许多任意PHP函数执行而不是几个特定的函数。也就是说任何人包括访客在内都可以执行远程代码。研究人员最担心的功能是攻击者可以创建新的管理员用户，并用该账户完全控制整个站点。
目前，该漏洞已经有了在野利用。截至目前，研究人员还不清楚是谁在利用该漏洞，但研究人员知道攻击者创建了管理员用户账户。如果你使用了ThemeREX Addons插件，并且发现了一个可以的管理员账户，那么你的wordpress站点很可能被黑了。
由于还没有发布补丁，研究人员建议用户临时删除该插件。
此外，研究人员还发现一起针对WordPress站点的攻击。这一波攻击的是ThemeGrill Demo Importer插件。黑客利用ThemeGrill插件中的一个bug来删除数据库和重置WordPress站点到默认状态。大约有超过200000 WordPress站点运行着ThemeGrill插件。此外，攻击者还可以通过劫持管理员账户来接管有漏洞的站点。
ThemeGrill插件漏洞实际上属于1-day漏洞，也就是说已经有了漏洞补丁。攻击者的攻击目标是哪些还没有修复漏洞的用户。因此，用户可以通过更新有漏洞的插件来应对1-day漏洞攻击。
参考来源：https://www.zdnet.com/article/hackers-exploit-zero-day-in-wordpress-plugin-to-create-rogue-admin-accounts/
