secforce/wptimecapsulepocAn authentication bypass was recently discovered (https://www.webarxsecurity.com/vulnerability-infinitewp-client-wp-time-capsule/) on WP Time Capsule < 1.21.16. This PoC proves how the issue works and how it can be exploited.
تم اكتشاف ثغرة تجاوز مصادقة مؤخراً (https://www.webarxsecurity.com/vulnerability-infinitewp-client-wp-time-capsule/) في WP Time Capsule < 1.21.16. يوضح هذا الإثبات كيفية عمل الثغرة وكيف يمكن استغلالها.
يقدم هذا الإثبات خيارين مختلفين:
poc.py http://127.0.0.1/
poc.py http://127.0.0.1 shell
الدالة decode_server_request_wptc() ، الموجودة داخل wptc-cron-functions.php ويستدعيها مُنشئ Wptc_Init ، لا تقوم بأي نوع من فحص الصلاحيات أثناء فك تشفير الطلبات المرسلة في جسم الطلب:
if( !empty($HTTP_RAW_POST_DATA_LOCAL)
&& strpos($HTTP_RAW_POST_DATA_LOCAL, 'IWP_JSON_PREFIX') !== false ){
wptc_log('', "--------IWP_JSON_PREFIX--coming------");
wp_cookie_constants();
wptc_login_as_admin();
}
إنها تتحقق فقط من أن جسم أي طلب POST يحتوي على السلسلة IWP_JSON_PREFIX، وإذا كان الأمر كذلك، فإنها تستدعي الطريقتين:
wp_cookie_constants();
wptc_login_as_admin();
تقوم wptc_login_as_admin() بجلب جميع مستخدمي المدير، وتستخرج أول واحد منها وتعيد كوكي لاسم المستخدم ذلك.
function wptc_login_as_admin(){
wptc_log(func_get_args(), "--------" . __FUNCTION__ . "--------");
wptc_define_admin_constants();
if( !function_exists('is_user_logged_in') ){
include_once( ABSPATH . 'wp-includes/pluggable.php' );
}
if(is_user_logged_in()){
return ;
}
$admins = get_users(array('role' => 'administrator'));
foreach ($admins as $admin) {
$user = $admin;
break;
}
if (isset($user) && isset($user->ID)) {
wp_set_current_user($user->ID);
// Compatibility with All In One Security
update_user_meta($user->ID, 'last_login_time', current_time('mysql'));
}
if(!defined('SECURE_AUTH_COOKIE')){
return;
}
$isHTTPS = (bool)is_ssl();
if($isHTTPS){
wp_set_auth_cookie($user->ID);
} else{
wp_set_auth_cookie($user->ID, false, false);
wp_set_auth_cookie($user->ID, false, true);
}
}
لهذا الاختبار استخدمنا:
الخطوات المتبعة:
