exploit_cve-2021-24762

Este repositorio muestra un exploit para CVE-2021-24762. Es un exploit de Blind SQLi que, en la configuración predeterminada, obtiene la contraseña del administrador.

Mientras realizaba un laboratorio, basado en WordPress con el plugin PerfectSurvey, me topé con una vulnerabilidad SQL. Los únicos PoC disponibles que encontré estaban basados en sqlmap y no funcionaban correctamente en el laboratorio en el que estaba trabajando (Había muchas preguntas adicionales, por ejemplo, la aplicación devolvía 404, los tiempos de espera variaban demasiado y otros problemas). Así que creé esto para explotar el laboratorio.

Objetivos

• Este PoC explota CVE-2021-24762, el cual está relacionado con el plugin Perfect Survey de WordPress. El exploit se basa en SQL Injection con SLEEP y obtiene el hash de la contraseña del usuario 'admin'. Este usuario es predeterminado en entornos WordPress.
• Dónde funciona: Plugin Perfect Survey ejecutándose en versiones < 1.5.2.

Impacto y Gravedad

• CVE-2021-24762: [CVSS 9.8 (Crítica)]
• Impactos: confidencialidad, integridad, disponibilidad, acceso no autorizado.

Entorno

• Requisitos de software: Python3.

Cómo usar

 ____     _      ___   ____
 / ___|   / \    |_ _| / ___|
| |      / _ \    | |  \___ \
| |___  / ___ \   | |   __ ) |
 \____|/_/   \_\ |___| |____/

   CAIS - Inteligência em Cibersegurança
   Exploit for: CVE-2021-24762

usage: exploit_cve-2021-24762.py [-h] [-u URL] [-p PATH] [-d DELAY] [-t TIMEOUT] [-c CHARSET] [-m MAX_LEN] [-v]

Safe CLI wrapper — receives url/path/delay/timeout/charset and forwards it

options:
  -h, --help            show this help message and exit
  -u, --url URL         Base URL (default: http://192.168.10.10)
  -p, --path PATH       path (default: /wp-admin/admin-ajax.php)
  -d, --delay DELAY     delay in seconds (default: 30)
  -t, --timeout TIMEOUT
                        timeout in seconds (default: delay + 15)
  -c, --charset CHARSET
                        charset to be used (default: alnum + ./$_-@)
  -m, --max-len MAX_LEN
                        maximum length (default: 20)
  -v, --verbose         activates log debugging

1. El script de Python recibe los parámetros anteriores. En caso de que no se pasen, el script se ejecuta con sus valores predeterminados.

2. Idealmente, necesitarás pasar al menos la URL. Hazlo con -u o --url. Otros parámetros probablemente funcionarán con los valores predeterminados.

3. En la configuración predeterminada, obtendrá el hash de la contraseña del usuario admin. Esta configuración se aplica en la variable payload, en el valor de user_login: payload = f"1 AND (SELECT COUNT(*) FROM (SELECT 1 WHERE ORD(SUBSTRING((SELECT user_pass FROM wp_users WHERE user_login=0x61646d696e),{position},1))={ascii_code} AND SLEEP({delay})) AS a)"

   En caso de que necesites encontrar el hash para otro usuario, cambia "0x61646d696e" (admin) según tus necesidades.

Riesgos y limitaciones

• Limitación: En la configuración actual, este PoC solo obtiene el hash de las contraseñas en WordPress con las estructuras de base de datos predeterminadas. Si te encuentras con un entorno modificado, entonces necesitas cambiar este payload: payload = f"1 AND (SELECT COUNT(*) FROM (SELECT 1 WHERE ORD(SUBSTRING((SELECT user_pass FROM wp_users WHERE user_login=0x61646d696e),{position},1))={ascii_code} AND SLEEP({delay})) AS a)"

Mitigación y remediación (recomendaciones)

• Recomendaciones de mitigación: Actualizar el plugin a la versión 1.5.2 o superior.
• Referencias:
  • https://nvd.nist.gov/vuln/detail/CVE-2021-24762
  • https://www.getperfectsurvey.com/

Advertencia y autorizaciones

Uso restringido — Este repositorio contiene contenido sensible destinado únicamente a un uso ético y responsable. Recuerda que debes tener permiso por escrito del propietario del sistema en el que estás realizando pruebas. Cualquier uso fuera de este alcance no está permitido y recaerá sobre ti (¿Quieres ir a la cárcel?).

Estructura del repositorio

• exploit_cve-2021-24762 — Exploit.
• README.ME — Este archivo.

Registro de cambios

2025-10-10 — c4cnm — Creación y modificaciones iniciales

Contacto

• Autor: Red Team CAIS:/Matheus Camargo (c4cnm), [email protected].

Licencia

GNU General Public License v3 (GPL)