流行的 WordPress 多语言插件 WPML 已安装在超过 1,000,000 个网站上，现已修复远程代码执行 (RCE)漏洞 (CVE-2024-6386)，研究人员已将该漏洞归类为“严重”，CVSS 评分为 9.9。强烈建议用户将其网站更新至修复后的版本 WPML 4.6.13。
安全研究员Mat Rollings（stealthcopter）通过 Wordfence Bug Bounty 计划发现并报告了该漏洞，获得了 1,639 美元的赏金。
Wordfence 的 István Márton 解释道：“WordPress 的 WPML 插件在 4.6.12 及以上版本中都存在通过 Twig 服务器端模板注入进行远程代码执行的漏洞。这是因为渲染函数缺少输入验证和清理。这使得经过身份验证的攻击者（具有贡献者级别及以上访问权限）能够在服务器上执行代码。”
Matt Rollings 将此漏洞称为“模板引擎中输入清理不当的危险的典型例子”，并在其博客上分享了有关此漏洞的更多技术细节。
ok