إضافة ووردبريس The True Ranker 2.2.2 - قراءة ملفات تعسفية

نموذج إثبات مفهوم مكتوب بلغة بايثون لـ CVE-2021-39312، يؤثر على إضافة ووردبريس The True Ranker (seo-local-rank) بالإصدارات ≤ 2.2.2.

تفاصيل الثغرة

• CVE: CVE-2021-39312
• النوع: قراءة ملفات تعسفية
• الإضافة المتأثرة: The True Ranker
• الإصدارات المتأثرة: ≤ 2.2.2
• الصفحة الرئيسية للمطوّر: https://wordpress.org/plugins/seo-local-rank/
• مصدر الإضافة: https://plugins.svn.wordpress.org/seo-local-rank/tags/2.2.2/

الوصف

تسمح الثغرة للمهاجم بقراءة ملفات تعسفية من الخادم المستهدف عبر مشكلة اجتياز المسار (path traversal) في:

wp-content/plugins/seo-local-rank/admin/vendor/datatables/examples/resources/examples.php

تحاول أداة الاستغلال استرداد:

wp-config.php

وتحفظ الاستجابة محليًا.

المتطلبات