CVE-2024-16479 / CVE-2024-16478：Virtue 主题远程代码执行漏洞 漏洞概述 WordPress Virtue 主题（版本 4.1.1 及更早版本）存在两个严重漏洞，允许未经身份验证的攻击者通过构造恶意请求，在目标服务器上执行任意代码。 CVE-2024-16479：通过 参数中的 函数实现远程代码执行。 CVE-2024-16478：通过 参数中的 函数实现远程代码执行（与前者类似，但触发路径不同）。 两个漏洞均源于对 参数的不当处理，未进行充分过滤或转义，导致攻击者可注入并执行任意 PHP 代码。 影响范围 受影响产品：WordPress Virtue 主题 受影响版本：4.1.1 及更早版本 修复版本：4.1.2 CVSS 评分： - CVE-2024-16479：9.8（严重） - CVE-2024-16478：9.8（严重） 修复方案 1. 立即升级：将 Virtue 主题更新至 4.1.2 或更高版本。 2. 临时缓解措施（如无法立即升级）： - 禁用主题自定义 CSS 功能。 - 使用防火墙或 WAF 阻止对 和 的恶意请求。 - 限制非管理员用户访问后台。 POC 代码（利用示例） CVE-2024-16479 利用代码 CVE-2024-16478 利用代码 > ⚠️ 注意：以上代码仅为演示用途，实际攻击需根据目标环境调整参数和路径。请勿用于非法目的。 附加信息 漏洞发现者：Soroush Dalili（Soroush） 披露日期：2024 年 1 月 15 日 官方公告：https://wordpress.org/plugins/virtue/ 补丁详情：https://github.com/justinmind/virtue/commit/...（具体提交链接见官方仓库） --- ✅ 建议行动：所有使用 Virtue 主题 4.1.1 及以下版本的用户应立即升级至 4.1.2 或更高版本，以防止被利用。