Reproduction de CVE-2025-1489

Ce dépôt simule la reproduction d'une CVE liée au web (CVE-2025-1489) dans un environnement sûr afin de démontrer et de pratiquer mes compétences en analyse forensique/vulnérabilités.

La vulnérabilité identifiée et reproduite est une vulnérabilité de cross-site scripting stocké (XSS) dans le plugin WordPress WP-Appbox (version 4.5.4). Le défaut permet à une entrée contrôlée par l'attaquant, placée dans le shortcode Appbox d'un article, d'être rendue dans la sortie de la page en raison d'une validation des entrées et d'un échappement des sorties insuffisants sur les attributs échappés par l'utilisateur, permettant ainsi l'exécution de scripts malveillants via des contextes d'attributs. La vulnérabilité est corrigée dans les versions ultérieures de WP-Appbox (version 4.5.5+).

Description de la vulnérabilité

Le plugin expose un shortcode [appbox ...] qui accepte un identifiant d'application appID et des attributs de shortcode fournis par l'utilisateur, lesquels ne sont pas correctement validés ni échappés au point d'entrée du plugin.

Dans le fichier source createoutput.class.php, certaines parties des données du shortcode sont insérées dans des attributs HTML ou des styles en ligne, ce qui permet une injection dans un contexte d'attributs (lignes 199 et 438-447). En concevant un appID qui force une image d'arrière-plan, j'ai pu confirmer des requêtes GET sortantes répétables vers un serveur attaquant, ce qui constitue des indicateurs clairs de XSS stocké côté serveur.

Composants :

• Application : WordPress
• Plugin : WP-Appbox 4.5.4, gère les chemins de génération de shortcode et de HTML
• Langage/Exécution : PHP 8.1, Apache
• Modèles : Modèles WP-Appbox où les valeurs d'attributs sont insérées
• Navigateur : exécute le contexte d'attributs injecté sur le navigateur de la victime

Structure du dépôt

├── attacker/                
│    ├── server.py            # Serveur HTTP attaquant pour servir et journaliser les requêtes
│    └── requests.log         # Journalise les requêtes entrantes vers le serveur attaquant depuis le navigateur WordPress
├── README.md                # Vue d'ensemble principale et instructions de reproduction
├── docker-compose.yml       # Paramètres de configuration Docker
└── full_report.pdf          # Rapport complet incluant analyse, mesures d'atténuation, conclusions et portée de l'impact

Étapes pour reproduire

Configuration :

• Système d'exploitation hôte utilisé : MacOS (Linux/Windows conviennent également)
• Plateforme de conteneurs : Docker Desktop
• Images utilisées : WordPress + MariaDB pour l'application, conteneur attaquant pour journaliser les requêtes entrantes depuis le serveur WordPress
• Plugin cible : WP-Appbox 4.5.4 installé
• Versions logicielles : WordPress 6.4, PHP 8.1, MariaDB 10.6, Python 3.11, WP-Appbox 4.5.4, Docker Desktop 4.43.2

Prérequis : Docker Desktop et svn installés sur votre hôte.

Étapes :

1. Obtenir le plugin WP-Appbox : utiliser svn pour récupérer le tag 4.5.4 :

svn checkout https://plugins.svn.wordpress.org/wp-appbox/tags/4.5.4 wp-appbox-4.5.4

2. Démarrer le laboratoire Docker :

docker-compose up -d

3. Configuration de WordPress :

   • Ouvrir localhost:8000 pour accéder à WordPress et créer un utilisateur Admin
   • Activer le plugin : naviguer vers l'onglet Plugins et activer WP-Appbox.
   • Créer un utilisateur attaquant avec des privilèges de rôle au moins Auteur.

4. Se connecter avec l'utilisateur attaquant et naviguer vers Articles > Ajouter > utiliser le bloc Shortcode pour créer une charge utile malveillante afin d'exploiter la vulnérabilité de XSS stocké.