Nachbildung von CVE-2025-1489

Dieses Repository simuliert eine Nachbildung einer webbasierten CVE (CVE-2025-1489) in einer sicheren Umgebung, um meine forensischen/Fähigkeiten zur Schwachstellenanalyse zu demonstrieren und zu üben.

Die identifizierte und reproduzierte Schwachstelle ist eine gespeicherte Cross-Site-Scripting (XSS)-Schwachstelle im WordPress-Plugin WP-Appbox (Version 4.5.4). Der Fehler erlaubt es, dass angreifergesteuerte Eingaben, die in den Appbox-Shortcode eines Beitrags eingefügt werden, aufgrund unzureichender Eingabebereinigung und Ausgabe-Escaping bei benutzergesteuerten Attributen in die Seitenausgabe gerendert werden, was die Ausführung von bösartigem Skript über Attributkontexte ermöglicht. Die Schwachstelle wird in späteren Versionen von WP-Appbox (Version 4.5.5+) behoben.

Schwachstellenbeschreibung

Das Plugin stellt einen Shortcode [appbox ...] bereit, der eine Anwendungs-ID appID und vom Benutzer bereitgestellte Shortcode-Attribute akzeptiert, die am Einstiegspunkt des Plugins nicht ordnungsgemäß bereinigt oder escaped werden.

In der Quellcode-Datei createoutput.class.php werden Teile der Shortcode-Daten in HTML-Attribute oder Inline-Stile eingefügt, was eine Attributkontext-Injektion ermöglicht (Zeilen 199 und 438-447). Durch das Erstellen einer appID, die ein Hintergrundbild erzwingt, konnte ich wiederholte ausgehende GET-Anfragen an einen Angreifer-Server bestätigen, die klare Indikatoren für serverseitiges gespeichertes XSS sind.

Komponenten:

• Anwendung: WordPress
• Plugin: WP-Appbox 4.5.4, verarbeitet Shortcode- und HTML-Generierungspfade
• Sprache/Laufzeit: PHP 8.1, Apache
• Vorlagen: WP-Appbox-Vorlagen, in die Attributwerte eingefügt werden
• Browser: führt den injizierten Attributkontext im Browser des Opfers aus

Repository-Struktur

├── attacker/                
│    ├── server.py            # Attacker HTTP server to serve and log requests
│    └── requests.log         # Logs inbound requests into attacker server from WordPress browser
├── README.md                # Main overview & reproduction instructions
├── docker-compose.yml       # Docker configuration settings
└── full_report.pdf          # Full report including analysis, mitigation, findings, and scope of impact

Schritte zur Reproduktion

Einrichtung:

• Verwendetes Host-Betriebssystem: MacOS (Linux/Windows ebenfalls geeignet)
• Container-Plattform: Docker Desktop
• Verwendete Images: WordPress + MariaDB für die Anwendung, Angreifer-Container zum Protokollieren eingehender Anfragen vom WordPress-Server
• Ziel-Plugin: WP-Appbox 4.5.4 installiert
• Softwareversionen: WordPress 6.4, PHP 8.1, MariaDB 10.6, Python 3.11, WP-Appbox 4.5.4, Docker Desktop 4.43.2

Voraussetzungen: Docker Desktop und svn auf Ihrem Host installiert.

Schritte:

1. WP-Appbox-Plugin abrufen: Verwenden Sie svn, um das Tag 4.5.4 zu ziehen:

svn checkout https://plugins.svn.wordpress.org/wp-appbox/tags/4.5.4 wp-appbox-4.5.4

2. Docker-Lab starten:

docker-compose up -d

3. WordPress-Einrichtung:

   • Öffnen Sie localhost:8000, um auf WordPress zuzugreifen und einen Admin-Benutzer zu erstellen
   • Plugin aktivieren: Navigieren Sie zum Tab Plugins und aktivieren Sie WP-Appbox.
   • Erstellen Sie einen Angreifer-Benutzer mit Rollenberechtigungen von mindestens Autor.

4. Melden Sie sich als Angreifer-Benutzer an und navigieren Sie zu Beiträge > Erstellen > Verwenden Sie den Shortcode-Block, um eine schädliche Nutzlast zu erstellen, um die gespeicherte XSS-Schwachstelle auszunutzen.