CVE-2020-36708 – Preuve de concept d'injection de fonctions dans le framework Epsilon pour WordPress

Aperçu

CVE-2020-36708 est une vulnérabilité dans le framework Epsilon pour WordPress qui permet à des attaquants non authentifiés d'invoquer des méthodes de classes PHP arbitraires via l'action AJAX epsilon_framework_ajax_action.

Ce problème est classé comme une vulnérabilité d'injection de fonctions car un attaquant contrôle à la fois :

• La classe à appeler (ex : Requests)
• La méthode à invoquer (ex : request_multiple)
• Les arguments à fournir

En pratique, l'attaquant peut diriger le framework pour exécuter des fonctions PHP ou des appels de bibliothèque non destinés à être exposés.

La manière la plus simple et non destructive de le démontrer est d'abuser de la bibliothèque Requests intégrée pour déclencher une SSRF (Server-Side Request Forgery). En forçant le serveur à effectuer une requête web vers un domaine contrôlé, nous confirmons l'exécution arbitraire de fonctions sans impacter le système cible.

Si Burp Pro n'est pas disponible, utilisez webhook.site à la place.

Cette preuve de concept est uniquement destinée à des fins éducatives et à des tests d'intrusion autorisés. Ne l'utilisez pas contre des systèmes sans autorisation explicite.