4️⃣ Requisito previo

Administrador

5️⃣ Detalles de la vulnerabilidad

👉 Descripción breve

El plugin WP Ultimate Exporter es un complemento para el plugin WP Ultimate CSV Importer. Este plugin permite exportar todas las publicaciones, productos, pedidos, reembolsos y datos de usuarios en formatos CSV, XLS, XML y JSON. Al exportar, se crean archivos en la ruta de carga y el plugin solo entrega el contenido de esos archivos a los usuarios.

En el plugin WP Ultimate Exporter, versiones 2.9.1 y anteriores, al solicitar la exportación de datos, si la extensión del archivo en los datos de la solicitud se establece en PHP, se crea un archivo PHP en la ruta de carga. Por lo tanto, si el contenido del archivo creado contiene sintaxis PHP, se produce una vulnerabilidad de Ejecución Remota de Código (RCE), ya que la sintaxis PHP se ejecuta al acceder a ese archivo.

👉 Cómo reproducir (PoC)

⚠️ Dado que el plugin 'WP Ultimate Exporter' es un complemento del plugin 'WP Ultimate CSV Importer', ambos plugins deben estar instalados.

1. Cree una nueva publicación usando el editor de código (tecla de acceso rápido: ⇧ ⌥ ⌘ M) con el siguiente contenido:

   root@kitploit:~

   <pre>
   	<?php
   	    if(isset($_GET['cmd']))
   	    {
   	        system($_GET['cmd']);
   	    }
   	?>
   </pre>
   

2. Navegue a la pestaña 'Export' del plugin WP Ultimate Exporter. Se puede acceder haciendo clic en la pestaña 'Export' en el panel del plugin WP Ultimate CSV Importer (/wp-admin/admin.php?page=com.smackcoders.csvimporternew.menu).

3. Inicie una herramienta de proxy (por ejemplo, BurpSuite) para interceptar los paquetes de solicitud y continúe con los siguientes pasos con Intercept habilitado.

4. A continuación, seleccione 'Posts' en 'Select the module to Export Data' y continúe al siguiente paso.

1. Luego, en 'To export data based on the filters', configure los siguientes elementos y haga clic en el botón 'EXPORT'.
   • Export File Name Ingrese 'webshell'
   • Advanced Settings Seleccione 'CSV'

1. En este punto, se envía una solicitud de método POST a la URL /wp-admin/admin-ajax.php para exportar los datos. Cambie el valor de exp_type en los datos de la solicitud de csv a php, luego haga clic en Forward.

1. Ingrese /wp-content/uploads/smack_uci_uploads/exports/webshell.php?cmd=cat /etc/passwd en la barra de direcciones del navegador para mostrar el contenido del archivo /etc/passwd en el servidor donde está instalado WordPress. Esto demuestra la vulnerabilidad RCE.

👉 Información adicional (opcional)

[Causa de la vulnerabilidad]

Al exportar datos en el plugin WP Ultimate Exporter, se llama a la función parseData en el archivo /wp-content/plugins/wp-ultimate-exporter/exportExtensions/ExportExtension.php.

En este punto, no se realiza ningún filtrado en los datos de la solicitud exp_type que determinan el formato de los datos de exportación, y el valor se inserta directamente en la variable miembro $this->exportType.

Posteriormente, se llama a la función proceedExport para guardar los datos en un archivo. En este punto, al inicializar la variable $file que especifica la ruta de almacenamiento del archivo, la variable miembro $this->exportType también se usa sin ningún filtrado.

Posteriormente, la ruta del archivo almacenada en la variable $file se pasa como argumento a la función file_put_contents, y en este punto, el archivo se guarda con la extensión especificada en los datos de la solicitud exp_type aplicándose directamente.

Por lo tanto, cuando los datos de la publicación que contienen código de Web Shell se guardan como un archivo PHP y se accede a ese archivo, se produce una vulnerabilidad de Ejecución Remota de Código (RCE), ya que el código PHP se ejecuta.

[Implementación y ejecución del código PoC]

1. Abra el código PoC en un editor e ingrese la dirección del sitio de WordPress y las credenciales de administrador.

1. Luego ingrese el siguiente comando para ejecutar el código PoC.

   Módulo requerido requests

   root@kitploit:~

   python poc.py
   

   

6️⃣ Demo del exploit

7️⃣ Referencias

• https://nvd.nist.gov/vuln/detail/CVE-2024-56278