Preuve de concept de traversée de chemin dans File Manager, Code Editor, and Backup par Managefy

Type de vulnérabilité : Traversée de chemin (Téléchargement arbitraire de fichiers)

Fonction affectée : ajax_downloadfile()

Impact : Les utilisateurs authentifiés avec des privilèges faibles (Subscriber+) peuvent télécharger des fichiers arbitraires depuis le serveur, y compris des fichiers de configuration sensibles, en exploitant une validation insuffisante du paramètre flm_file.

Score CVSS v3.1 : 6.5 (Moyen)
Vecteur : AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N

Description

Le paramètre flm_file de la requête GET est concaténé directement avec le chemin du répertoire de sauvegarde sans assainissement suffisant. La fonction d'assainissement actuelle Flmbkp_Form_Helper::sanitizeInput_html() n'empêche pas les séquences comme ../, permettant à un attaquant de traverser les répertoires en dehors du dossier de sauvegarde prévu.

// modules\filemanager\controllers\backups.php
public function ajax_downloadfile()
    {
        check_ajax_referer('flmbkp_ajax_nonce', 'flmbkp_security');
        @set_time_limit(900);
        $flm_file = (isset($_GET['flm_file'])) ? Flmbkp_Form_Helper::sanitizeInput_html($_GET['flm_file']) : '';
        
        $backup_directory=Flmbkp_Form_Helper::backup_directory();
        $fullpath = $backup_directory.'/'.$flm_file;
        
        header("Content-Length: ".filesize($fullpath));
        header("Content-type: application/octet-stream");
        header("Content-Disposition: attachment; filename=\"".basename($fullpath)."\";");
        readfile($fullpath);
        exit;
    }

Étapes de reproduction

1. Connectez-vous au système WordPress à l'aide des identifiants Subscriber.
2. Accédez à la page Extensions → File Manager & Backup.
3. Cliquez sur le bouton « Backup » pour créer un fichier de sauvegarde.
4. Dans la section Données de sauvegarde, cliquez sur l'option télécharger le fichier.
5. Interceptez la requête de téléchargement dans Burp Suite et modifiez le paramètre flm_file pour inclure une charge utile de traversée de chemin afin de cibler un fichier sensible.
   

Impact

Divulgation de fichiers système sensibles.

Exposition d'identifiants stockés dans des fichiers tels que wp-config.php, .env, ou les journaux d'application.

Facilite d'autres attaques, y compris le compromis total du système.

Recommandation

Utilisez realpath() pour résoudre le chemin absolu du fichier demandé et assurez-vous qu'il se trouve dans le répertoire de sauvegarde.

Rejetez les requêtes contenant ../, %00 ou d'autres séquences liées à la traversée avant l'accès au fichier.

Appliquez des contrôles de capacité stricts (par exemple, seuls les utilisateurs avec manage_options peuvent télécharger des sauvegardes).

Assainissez et validez le nom de fichier par rapport à une liste blanche de fichiers autorisés.

Vidéo POC

Si vous ne parvenez pas à reproduire le problème exactement comme décrit dans le rapport, veuillez vous référer à la démonstration vidéo suivante (PoC) pour un scénario de reproduction clair :

https://www.youtube.com/watch?v=b9M0nMDpMi0