WordPress Plugin - Elementor 3.6.0 3.6.1 3.6.2 تنفيذ التعليمات البرمجية عن بُعد

التاريخ: 16 أبريل 2023
مؤلف الاستغلال: Việt Hùng (https://github.com/phanthibichtram12)
الصفحة الرئيسية للمورّد: https://elementor.com/
رابط البرنامج: https://wordpress.org/plugins/elementor/advanced/ (مرر لأسفل واختر الإصدار)
الإصدار: 3.6.0, 3.6.1, 3.62
تم اختباره على: WordPress 5.9.3 (مستقل عن نظام التشغيل لأن هذا الاستغلال لا يوفّر حمولة)
CVE : CVE-2022-1329

وصف الثغرة

يحتوي إضافة WordPress المسماة Elementor (الإصدارات 3.6.0, 3.6.1, 3.6.2) على ثغرة تسمح لأي مستخدم مصادَق برفع وتنفيذ أي ملف PHP.

هذه الثغرة، ضمن OWASP TOP 10 2021، تأتي في المركز الأول (التحكم في الوصول المعطّل)

الملف الذي يحتوي هذه الثغرة هو elementor/core/app/modules/onboarding/module.php

في نهاية هذا الملف، يمكنك العثور على هذا الكود:

add_action( 'admin_init', function() {
  if ( wp_doing_ajax() &&
  isset( $_POST['action'] ) &&
  isset( $_POST['_nonce'] ) &&
  wp_verify_nonce( $_POST['_nonce'], Ajax::NONCE_KEY )
  ) {
  $this->maybe_handle_ajax();
  }
  } );

يتم تفعيل هذا الكود كلما وصل أي حساب مستخدم إلى /wp-admin لكي يعمل نحتاج إلى الأشياء الأربعة التالية:

1. يجب أن يكون الطلب "طلب ajax" (wp_doing_ajax()) والطريقة يجب أن تكون POST. لفعل ذلك، نكتفي باستدعاء /wp-admin/admin-ajax.php
2. يجب أن تكون معلمة "action" هي "elementor_upload_and_install_pro" (انظر الدالة المسماة Maybe_handle_ajax() في نفس الملف)
3. يجب استرجاع معلمة "_nonce" بعد تسجيل الدخول عن طريق فحص صفحة /wp-admin (يقوم هذا الاستغلال بذلك داخل الدالة DoLogin)
4. يجب أن تحتوي معلمة "fileToUpload" على أرشيف ZIP الذي نريد رفعه (انظر الدالة المسماة upload_and_install_pro() في نفس الملف)

يجب أن يتبع الملف الذي نرفعه البنية التالية:

1. يجب أن يكون ملف ZIP. يمكنك تسميته كما تشاء.
2. يجب أن يحتوي على مجلد باسم "elementor-pro"
3. يجب أن يحتوي هذا المجلد على ملف باسم "elementor-pro.php"

سيكون هذا الملف هو الحمولة الخاصة بك (مثل PHP Reverse Shell أو أي شيء آخر) تحذير: الإضافة المزيّفة التي نرفعها سيتم تفعيلها بواسطة Elementor، مما يعني أنه في كل مرة نزور أي صفحة، سنقوم بتفعيل حمولتنا. مثال: إذا حاولت الاتصال بخادم غير متصل، فقد يؤدي ذلك إلى رفض الخدمة. لمنع ذلك، أنصحك باستخدام بعض المتغيرات لتفعيل الحمولة. شيء من هذا القبيل (قم بزيارة Anypage.php?activate=1 للمتابعة مع الحمولة الفعلية):

if (!isset($_GET['activate']))
return;