CVE-2024-1813 - Simple Job Board ≤ 2.11.0 (WordPress) - Injection d'objets PHP non authentifiée

🎥 Démo de la preuve de concept

De bout en bout : un visiteur stocke un objet PHP sérialisé via le formulaire public de candidature, l'administrateur ouvre la liste des candidats, et la chaîne de gadgets dépose un webshell.

Injection d'objets PHP non authentifiée dans le plugin WordPress Simple Job Board (PressTigers). Un visiteur stocke un objet PHP sérialisé via le formulaire public de candidature ; lorsque l'administrateur ouvre ensuite la liste des candidats, le plugin le désérialise et une chaîne de gadgets tierce le transforme en exécution de code à distance.

📖 Analyse technique complète : https://mobeta.fr/blog/

Ce dépôt est le laboratoire et la preuve de concept associés. L'analyse détaillée (cause racine, le double unserialize, la construction de la chaîne POP, le contournement du WAF) se trouve dans l'article de blog.

Prérequis

• Python 3.7+ pour la preuve de concept - bibliothèque standard uniquement, aucun paquet à installer.
• Docker + Docker Compose pour le laboratoire.

Structure du dépôt

.
├── sjb_cve_2024_1813.py     # the PoC (builds + sends the payload)
├── LICENSE
└── lab/
    ├── docker-compose.yml   # WordPress + MariaDB + vulnerable plugins
    ├── setup/setup.sh        # one-shot provisioning (wp-cli)
    └── trigger_exploit.sh    # simulates the admin opening the applicants list

Laboratoire

Reproduit la pile vulnérable : WordPress 6.9.4 / PHP 8.3 / MariaDB 10.11 avec Simple Job Board 2.10.8 (source + sink) et All In One SEO 4.5.6 (la chaîne de gadgets).

cd lab
docker compose up -d            # boot + auto-provision
docker compose logs setup       # prints the site URL, admin creds and job_id

Valeurs par défaut du laboratoire : http://localhost:8081, admin admin / admin123!.

Exécuter l'exploit

# 1. Store the payload (pre-auth). Replace 4 with the job_id from the setup logs.
python3 sjb_cve_2024_1813.py http://localhost:8081 4 'id > /tmp/RCE_PROOF.txt'

# 2. Fire the sink (plays the admin opening the applicants list).
cd lab && ./trigger_exploit.sh

# 3. Check the result.
docker exec sjb_lab_wp cat /tmp/RCE_PROOF.txt

Options utiles du PoC :

• --print-only - construit et affiche la charge utile transmise, sans trafic réseau.
• --field - nom du champ POST (doit contenir name ; défaut jobapp_full_name).
• --int-prefix '+' - variante de contournement du WAF pour le préfixe de longueur sérialisé.
• --proxy http://127.0.0.1:8080 - achemine via Burp.

Atténuation

• Mettez à jour Simple Job Board vers ≥ 2.11.1.
• Auditez tout appel explicite à unserialize() / maybe_unserialize() sur post_meta ; privilégiez unserialize($data, ['allowed_classes' => false]).
• Bloquez l'accès direct à vendor/composer/installed.json afin que les versions des bibliothèques cloisonnées ne puissent pas être identifiées.
• Supprimez les plugins inutilisés qui exposent des gadgets POP (Monolog, Guzzle, Symfony, …).

Références

• WPScan: https://wpscan.com/vulnerability/600cb9cf-2e93-4927-b449-edd7edf186d2/
• Wordfence: https://www.wordfence.com/threat-intel/vulnerabilities/id/89584034-4a93-42a6-8fef-55dc3895c45c
• SVN patch diff 2.10.8 → 2.11.1: https://plugins.trac.wordpress.org/changeset?new=3051715%40simple-job-board&old=3038476%40simple-job-board
• PHPGGC (Monolog chains): https://github.com/ambionics/phpggc

Avertissement

Réservé aux tests de sécurité et à l'éducation autorisés. N'exécutez jamais cela contre un système sans l'autorisation écrite explicite de son propriétaire.

Licence

MIT - voir LICENSE.