研究人员表示，他们在 WordPress 插件中发现了一个恶意后门，攻击者可以完全控制使用该软件包的网站，该软件包面向学校销售。

这个漏洞名为“School Management Pro”，至少从 8.9 版本开始就包含后门，但不排除它存在于早期版本中. 来自第三方网站的此页面显示 8.9 版已于去年 8 月发布。

该问题在 9.9.7 之前的高级版本中发现，已被分配 CVE 标识符CVE-2022-1609，严重程度为 10 分（满分 10 分）。

Jetpack 的 Harald Eilertsen在周五的一篇文章中说，该后门被认为自 8.9 版以来就存在，它使“未经身份验证的攻击者能够在安装了该插件的网站上执行任意 PHP 代码” 。

目前尚不清楚有多少网站使用该插件。总部位于印度的 School Management 制造商Weblizar在其主页上表示，其免费和高级主题和插件拥有“340k+”客户，但发现的后门 Jetpack 仅在 School Management Pro 中。后门不在插件的免费版本中，也没有迹象表明它被放入了 Weblizar 发布的其他插件中。

虽然后门已被删除，但确切来源仍不清楚，供应商表示“他们不知道代码何时或如何进入他们的软件。”建议插件的客户更新到最新版本 (9.9.7) 以防止主动利用尝试。