先说结论：我们检查的 YITH Premium 4.45.0、4.46.1、4.47.0 三份第三方 ZIP，全部包含管理员密码窃取代码，已被 WP资源海拦截，未上架。这并不意味着 YITH 官方产品存在同样的问题。
三个版本，检查出了什么？
| 标称版本 | 压缩包大小 | 安全结论 |
|---|---|---|
| 4.45.0 | 约 2.5 MiB | 发现窃密组件，拒绝入库 |
| 4.46.1 | 6 MiB | 发现相同组件，拒绝入库 |
| 4.47.0 | 6 MiB | 发现相同组件，拒绝入库 |
三个 ZIP 都能正常解压，内部却只有约 31 个文件条目，并包含与询价业务无关的登录监听、数据发送和插件隐藏代码。压缩包完整，不等于插件可信。
恶意代码究竟做了什么？
| 样本文件 | 发现的行为 |
|---|---|
inc/login-events.php | 监听 WordPress 登录认证流程，获取用户名和密码 |
inc/data-send.php | 将登录数据通过网络请求发往外部接收地址 |
inc/plugin-reg.php | 尝试在后台插件列表中隐藏自身 |
inc/update-block.php | 干预插件更新信息 |
随后我们又检查了一个标称 Fluent Community Pro 2.8.1 的 ZIP：它与这三份 YITH 包的两份核心窃密文件哈希完全一致。四份文件的下载记录均涉及 wphooligan.com 引荐页面和 downloadplugins.biz 文件服务器；后者还出现在代码中的密码接收地址里。查看四份样本的下载链路调查。
WP资源海原有资源受到影响了吗？
这次发现的三个危险新版本没有进入站内资源目录。同时，我们复核了现有 YITH 4.29.0、4.36.0 安装包，未检出这批样本中的窃密特征。核验是持续工作，我们会坚持发现异常先拦截、确认后再更新。
你下载过这些 ZIP 怎么办？
- 只下载、未安装：不要上传 WordPress 后台；按下方哈希核对。
- 已上传但未启用：先移除可疑安装文件，确认没有被其他代码加载。
- 已经启用，尤其登录过管理员账号：隔离插件、核查后台用户和异常文件，轮换相关密码并注销旧会话；操作步骤见恶意插件恢复指南。
三个危险 ZIP 的 SHA-256 指纹
macOS / Linux 可以运行 shasum -a 256 "plugin.zip" 检查自己的 ZIP。
| 版本 | SHA-256 |
|---|---|
| 4.45.0 | 464975c93fe0b73388ede26aac35dbb3e19d8ff436ae93406e30e9e58821324b |
| 4.46.1 | f1898cd8729148859f94f957ce072309922ea492637c8fdf1a18916d9ea15a4a |
| 4.47.0 | 12d326da73bdc35d20c647fb6f8a0a0e9036d509c7683bb74a8c69cfa82da9be |
哈希相同，说明与本次恶意样本是同一文件；哈希不同，不代表自动安全。想检查其他插件，继续看WordPress GPL 插件7步安全自查。
评论0 注意：评论区不审核也不处理售后问题！如有售后问题请前往用户中心提交工单以详细说明!