Chaîne d'attaque

Le cœur du problème n'est pas l'« écriture en base par empilement », mais :

1. L'étape de validation et l'étape de distribution de serve_batch_request_v1() ne synchronisent pas les index $matches / $validation, ce qui provoque une confusion de route.
2. Une fois désalignée, la chaîne author_exclude entre dans author__not_in de WP_Query, est concaténée dans NOT IN (...), et constitue une injection SQL.
3. Grâce à UNION SELECT, une ligne complète de wp_posts est falsifiée pour déclencher la logique oEmbed / Customizer et basculer le contexte utilisateur courant vers un administrateur existant.
4. En tant qu'administrateur, l'interface REST de création d'utilisateurs est appelée pour créer un nouvel administrateur.
5. Connexion à l'interface d'administration, téléversement d'un plugin et exécution de commandes.

Exigences environnementales

• Python 3.10+ (bibliothèque standard uniquement, aucune dépendance tierce)
• La cible est une instance WordPress que vous êtes autorisé à tester
• Le PHP cible doit conserver au moins une fonction d'exécution (proc_open / passthru / system / shell_exec / exec / popen selon le cas)
• Si disable_functions désactive toutes les fonctions d'exécution de commandes, la création de l'administrateur peut toujours réussir, mais l'étape RCE échouera

Description des fichiers

Utilisation

Utilisation minimale (génère automatiquement un administrateur, exécute id par défaut)

Personnalisation de tous les paramètres

Description des paramètres

Exemple de sortie attendue

À la fin, le script tente de :

1. Supprimer l'administrateur créé lors de cette exécution
2. Supprimer le répertoire du plugin temporaire

En cas d'échec en cours de route, procédez à un nettoyage manuel à l'aide des identifiants affichés dans la sortie.

Précautions

1. Environnement autorisé uniquement : ne pas utiliser contre des systèmes non autorisés.
2. Restriction de cible : par défaut, le script refuse les cibles saisies sous forme d'adresses IP publiques ; il n'autorise que les adresses privées / de boucle locale / de liaison locale, ou les cibles sous forme de nom de domaine.
3. Durcissement PHP : si le message has been disabled for security reasons apparaît, cela signifie que disable_functions a désactivé la fonction concernée. Le PoC essaie successivement plusieurs méthodes d'exécution ; si toutes sont désactivées, la RCE n'est pas disponible, mais la phase de création de l'administrateur peut encore aboutir.
4. Contenu du site : au moins un article ou une page publié est nécessaire pour amorcer le cache oEmbed.
5. Idempotence et nettoyage : chaque exécution crée un nouvel administrateur et un plugin temporaire ; le chemin de réussite nettoie automatiquement. En cas d'échec, vérifiez manuellement wp-admin/users.php et wp-content/plugins/.

Recommandations de correctif

• Mettre à niveau vers la version officielle corrigée (selon les bulletins de sécurité WordPress)
• Si le correctif n'est pas disponible, restreindre temporairement l'accès non authentifié à /batch/v1
• En production, conserver disable_functions ainsi qu'un utilisateur web aux privilèges minimaux afin de réduire l'impact d'une RCE

Disclaimer

Le code de ce dépôt est destiné uniquement à la recherche en sécurité et à la reproduction autorisée de vulnérabilités. L'utilisateur est tenu de se conformer aux lois locales et au périmètre d'autorisation du système cible. L'auteur décline toute responsabilité en cas d'utilisation abusive.