CVE-2020-36708 – PoC de Inyección de Funciones en Epsilon Framework de WordPress

Resumen

CVE-2020-36708 es una vulnerabilidad en el Epsilon Framework para WordPress que permite a atacantes no autenticados invocar métodos arbitrarios de clases PHP a través de la acción AJAX epsilon_framework_ajax_action.

Este problema se categoriza como una vulnerabilidad de inyección de funciones porque un atacante controla tanto:

• La clase a llamar (p. ej., Requests)
• El método a invocar (p. ej., request_multiple)
• Los argumentos a proporcionar

En efecto, el atacante puede dirigir el framework para ejecutar funciones PHP o llamadas a librerías que no estaban destinadas a ser expuestas.

La forma más directa y no destructiva de demostrar esto es abusando de la librería Requests incluida para desencadenar un SSRF (Server-Side Request Forgery). Al forzar al servidor a realizar una solicitud web a un dominio controlado, confirmamos la ejecución arbitraria de funciones sin afectar al sistema objetivo.

Si Burp Pro no está disponible, usa webhook.site en su lugar.

Este PoC es solo para fines educativos y pruebas de penetración autorizadas. No lo uses contra sistemas sin permiso explícito.