Wordpress_CVE-2019-9787

Essayez de reproduire ce problème avec Docker et une installation automatique de WordPress.

PoC de CVE-2019-9787 CSRF Version de WordPress jusqu'à 5.1

Pour démontrer tout le potentiel de CVE-2019-9787, vous voudrez probablement un code plus vicieux que le commentaire présent dans nginx/iframe-post.html. Dans mon code, je n'utilise pas la faille dans le wp_filter_post_kses() de WordPress.

Ne pas utiliser ceci sauf à des fins de test.

Installation avec bash :

copiez le dépôt :

git clone https://github.com/matinciel/Wordpress_CVE-2019-9787.git

allez dans le répertoire

cd Wordpress_CVE-2019-9787

lancez l'installation, vous avez besoin de docker 18.02.0 au minimum (vérifiez avec docker -v)

make autoinstall

Vous avez maintenant installé :

WordPress (avec un compte administrateur par défaut identifiant : wordpress / mot de passe : wordpress). Vous pouvez y accéder via http://localhost

si vous voulez reproduire le problème de sécurité :

Côté hacker

1. allez sur WordPress (ne vous connectez pas en tant que wordpress). http://localhost
2. laissez un commentaire sur l'article Hello world! (en cliquant sur le lien « 1 Comment »). le commentaire doit contenir quelque chose comme (seule l'URL est nécessaire) :

Merci de visiter mon blog : http://localhost:6060

Propriétaire de WordPress (rôle administrateur ou éditeur requis).

1. connectez-vous au « backend » de WordPress en allant sur http://localhost/wp-admin identifiant : wordpress mot de passe : wordpress
2. Vous devriez voir un commentaire à valider dans la section des commentaires, cliquez simplement sur le lien.
3. Revenez sur http://localhost/wp-admin : cliquez sur l'onglet des commentaires, vous devriez voir un nouveau commentaire déjà validé sans aucune action de votre part...

Limitation :

1. le code malveillant dans l'iframe ne fonctionne qu'avec l'article ID=1 (Hello World!)
2. si un commentaire « piraté » est déjà validé, cela ne fonctionne plus
3. la protection nonce ne semble pas nécessaire pour valider un commentaire (dans les autres tutoriels, elle est nécessaire car - peut-être - vous voulez utiliser une action de plugin / thème ?)
4. Comme déjà dit : pour démontrer tout le potentiel de CVE-2019-9787, vous voudrez probablement un code plus vicieux que le commentaire présent dans nginx/iframe-post.html. Dans mon code, je n'utilise pas la faille dans le wp_filter_post_kses() de WordPress.

désinstallation / nouvel essai / actualisation :

Pour arrêter le service

docker-compose down

Pour supprimer tous les conteneurs y compris leurs volumes, utilisez

docker rm -vf $(docker ps -a -q)

Pour supprimer toutes les images

docker rmi -f $(docker images -a -q)

N'oubliez pas de supprimer le dépôt

cd .. sudo sudo rm -Rf Wordpress_CVE_2019-9787

Projet initial copié/forké pour en arriver là :

Pour l'installation automatique de WordPress : https://github.com/kassambara/wordpress-docker-compose

Pour la preuve de concept du CVE (sans installation automatique de WordPress) : https://github.com/rkatogit/cve-2019-9787_csrf_poc

S'il existe un moyen (officiel) de relier ces pages à celle-ci, faites-le-moi savoir. J'ai utilisé le fork du second lien mais sans vraiment savoir ce que je faisais :-)