orangmuda/cve-2019-15858Exécution de code à distance non authentifiée dans Woody Ad Snippets (PoC)
Exécution de code à distance non authentifiée sur Woody Ad Snippets (PoC)
Une vulnérabilité d'importation d'options non authentifiée combinée à une vulnérabilité de XSS stocké peut conduire à une exécution de code à distance dans le plugin WordPress Woody Ad Snippets (plus de 90 000 installations actives). Woody Ad Snippets est un plugin qui permet aux administrateurs d'insérer tout code, texte ou publicité par conditions dans leur blog : JS, CSS, HTML et même du code PHP. Il était affecté, en version 2.2.4 et versions antérieures, par deux vulnérabilités qui, lorsqu'elles étaient déclenchées involontairement par l'administrateur dans la section back-end de WordPress, permettraient à un attaquant d'exécuter tout code PHP afin de compromettre le site web et sa base de données.
usage: python exploit.py sites.txt payload.json
