WP Elementor 3.6.0/1/2 تنفيذ الأكواد عن بُعد

Google Dork: none
Date: April 16 2022
Exploit Author: AkuCyberSec (https://github.com/AkuCyberSec)
Vendor Homepage: https://elementor.com/
Software Link: https://wordpress.org/plugins/elementor/advanced/ (scroll down to select the version)
Version: 3.6.0, 3.6.1, 3.62
Tested on: WordPress 5.9.3 (os-independent since this exploit does NOT provide the payload)
CVE : CVE-2022-1329

وصف الثغرة

إضافة WordPress المسماة Elementor (الإصدارات 3.6.0 و3.6.1 و3.6.2) تحتوي على ثغرة تسمح لأي مستخدم مُصادَق عليه برفع وتنفيذ أي ملف PHP.

هذه الثغرة، في قائمة OWASP TOP 10 لعام 2021، تُصنَّف في المركز الأول (كسر التحكم في الوصول).

الملف الذي يحتوي على هذه الثغرة هو elementor/core/app/modules/onboarding/module.php

في نهاية هذا الملف يمكنك العثور على هذا الكود:

add_action( 'admin_init', function() {
		if ( wp_doing_ajax() &&
			isset( $_POST['action'] ) &&
			isset( $_POST['_nonce'] ) &&
			wp_verify_nonce( $_POST['_nonce'], Ajax::NONCE_KEY )
		) {
			$this->maybe_handle_ajax();
		}
	} );

يتم استدعاء هذا الكود كلما قام أي حساب مستخدم بزيارة /wp-admin

لكي يعمل الاستغلال، نحتاج إلى الأشياء الأربعة التالية:

1. يجب أن يكون الطلب استدعاء "ajax call" (wp_doing_ajax()) وأن تكون طريقة الإرسال POST. وللقيام بذلك، يكفي استدعاء /wp-admin/admin-ajax.php
2. يجب أن تكون قيمة المعامل "action" هي "elementor_upload_and_install_pro" (راجع الدالة المسماة maybe_handle_ajax() في نفس الملف)
3. يجب الحصول على قيمة المعامل "_nonce" بعد تسجيل الدخول بفحص صفحة /wp-admin (يقوم هذا الاستغلال بذلك في الدالة DoLogin)
4. يجب أن يحتوي المعامل "fileToUpload" على أرشيف ZIP الذي نريد رفعه (راجع الدالة المسماة upload_and_install_pro() في نفس الملف)

يجب أن يكون للملف الذي نرفعه البنية التالية:

1. يجب أن يكون ملف ZIP. يمكنك تسميته بما تشاء.
2. يجب أن يحتوي على مجلد باسم "elementor-pro"
3. يجب أن يحتوي هذا المجلد على ملف باسم "elementor-pro.php"

سيكون هذا الملف هو حمولتك الخاصة (payload) (مثل PHP Reverse Shell أو أي شيء آخر).

تحذير: سيتم تفعيل الإضافة المزيّفة التي نرفعها بواسطة Elementor، وهذا يعني أننا في كل مرة نزور فيها أي صفحة سنقوم بتشغيل الحمولة.

إذا حاولت، على سبيل المثال، الاتصال بمضيف غير متصل، فقد يؤدي ذلك إلى حرمان من الخدمة (Denial of Service).

لمنع ذلك، أقترح عليك استخدام متغير لتفعيل الحمولة.

شيء من هذا القبيل (قم بزيارة anypage.php?activate=1 لمتابعة الحمولة الفعلية):

if (!isset($_GET['activate']))
return;