MDJM Event Management <= 1.7.8.3 - Téléchargement arbitraire de fichier authentifié (Administrateur+) via le paramètre 'mdjm_email_upload_file'

Le plugin WordPress MDJM Event Management (versions 1.7.8.3 et antérieures) contient une vulnérabilité de téléchargement arbitraire de fichier qui permet à des administrateurs authentifiés de télécharger des fichiers PHP malveillants sur le serveur, pouvant conduire à une exécution de code à distance.

TL;DR des exploits

Un POC CVE-2026-7537.py est fourni pour démontrer qu'un attaquant authentifié télécharge shell.php et exécute du code à distance :

python3 ./CVE-2026-7537.py http://target-site.com admin password123
[+] Logging into: http://target-site.com/wp-admin
[+] Extracting nonce values...
[+] Uploading web shell: shell.php
[+] Web Shell Location: http://target-site.com/wp-content/uploads/2026/02/shell.php
[+]
[+] Executing test command: id
uid=33(www-data) gid=33(www-data) groups=33(www-data)

Description technique

La vulnérabilité existe dans la fonction mdjm_send_comm_email() de la fonctionnalité de communications. La fonctionnalité de téléchargement manque de validation appropriée des fichiers lors du traitement des pièces jointes pour les communications par e-mail. Cela permet aux utilisateurs authentifiés disposant de la capacité mdjm_comms_send (administrateurs et administrateurs MDJM par défaut) de télécharger des fichiers arbitraires, y compris des fichiers PHP pouvant être exécutés sur le serveur.

Analyse du chemin d'attaque

Source : entrée utilisateur de $_FILES['mdjm_email_upload_file'] Puits : move_uploaded_file($tmp_path, $file_path) dans comms-functions.php#L248

La vulnérabilité se produit car :

1. Enregistrement de la route : le formulaire de communications est accessible aux utilisateurs disposant de la capacité send_comms via comms-functions.php#L24.
2. Vérification des capacités : la capacité mdjm_comms_send est accordée aux utilisateurs disposant de la permission manage_mdjm via class-mdjm-permissions.php#L626.
3. Permissions de rôle par défaut : le rôle DJ (class-mdjm-roles.php#L97-L104) ne dispose PAS de mdjm_comms_send par défaut - seuls les administrateurs l'ont.
4. Traitement des actions : les soumissions de formulaire sont traitées via la fonction mdjm_process_actions() dans admin-actions.php#L26.
5. Invocation du gestionnaire : l'action déclenche la fonction mdjm_send_comm_email() enregistrée dans comms-functions.php#L300.
6. Vérification du nonce : bien qu'une protection CSRF existe via la vérification du nonce dans comms-functions.php#L235, aucune validation de fichier ne suit.
7. Traitement des entrées : les données de fichier contrôlées par l'utilisateur depuis $_FILES['mdjm_email_upload_file'] sont traitées directement sans validation dans comms-functions.php#L241-L251.
8. Gestion des fichiers : le nom de fichier est pris directement de l'entrée utilisateur sans assainissement ni validation de l'extension.
9. Stockage des fichiers : les fichiers sont enregistrés dans le répertoire de téléversements WordPress (/wp-content/uploads/YYYY/MM/) en utilisant move_uploaded_file() sans aucune vérification de sécurité.

Emplacement du code vulnérable

Fichier : includes/admin/communications/comms-functions.php#L241-L251

if ( isset( $_FILES['mdjm_email_upload_file'] ) && '' !== $_FILES['mdjm_email_upload_file']['name'] ) {
    $upload_dir = wp_upload_dir();

    $file_name = $_FILES['mdjm_email_upload_file']['name']; // phpcs:ignore WordPress.Security.ValidatedSanitizedInput.InputNotValidated
    $file_path = $upload_dir['path'] . '/' . $file_name;
    $tmp_path  = $_FILES['mdjm_email_upload_file']['tmp_name']; // phpcs:ignore WordPress.Security.ValidatedSanitizedInput.InputNotValidated

    if ( move_uploaded_file( $tmp_path, $file_path ) ) {
        $attachments[] = $file_path;
    }
}