Détails de la vulnérabilité

Description

Le plugin Simple File List pour WordPress est vulnérable à une modification arbitraire de fichiers en raison de vérifications d'autorisation insuffisantes dans toutes les versions jusqu'à la version 6.3.7 incluse. Cela permet à des attaquants non authentifiés de supprimer et de modifier des fichiers sur le serveur.

Analyse de la cause racine

La vulnérabilité existe pour les raisons suivantes :

1. Enregistrement du point de terminaison AJAX : L'action AJAX simplefilelist_edit_job est enregistrée avec les hooks wp_ajax_ et wp_ajax_nopriv_, permettant un accès non authentifié :

   root@kitploit:~

   add_action('wp_ajax_simplefilelist_edit_job', 'simplefilelist_edit_job');
   add_action('wp_ajax_nopriv_simplefilelist_edit_job', 'simplefilelist_edit_job');
   

2. Vérification d'autorisation défaillante : La logique d'autorisation dans eeSFL_FileEditor() (ligne 1265) utilise :

   root@kitploit:~

   if(!is_admin() AND $eeSFL->eeListSettings['AllowFrontManage'] != 'YES') {
       return;
   }
   

   La fonction is_admin() retourne FALSE pour les requêtes AJAX, ce qui court-circuite la vérification d'autorisation avant que le paramètre AllowFrontManage ne soit évalué.

3. Exposition du nonce : Le nonce de sécurité (eeSFL_ActionNonce) est généré avec wp_create_nonce() et exposé dans le code source HTML du frontal, permettant aux attaquants de l'extraire sans authentification.

Évaluation de l'impact

Impact sur la confidentialité : Élevé

• Les contenus des fichiers peuvent être lus via le listage des fichiers
• Les métadonnées des fichiers sont exposées (noms, tailles, dates)

Impact sur l'intégrité : Élevé (CRITIQUE)

• Suppression non authentifiée de fichiers
• Renommage non authentifié de fichiers
• Modification non authentifiée des descriptions de fichiers
• Le traversement de chemin permet la suppression de fichiers critiques (y compris wp-config.php)

Impact sur la disponibilité : Aucun

• Les opérations sur les fichiers ne causent pas directement de déni de service, mais peuvent affecter indirectement la disponibilité via la suppression de fichiers

Exploitation réelle démontrée

Lors des tests, cette vulnérabilité a été exploitée avec succès pour SUPPRIMER le fichier de configuration WordPress (wp-config.php), cassant complètement le site. Cela démontre la gravité critique de l'aspect traversement de chemin de cette vulnérabilité.

Étapes d'exploitation du PoC

Étape 1 : Extraire le nonce du frontal

Étape 2 : Suppression non authentifiée de fichier

Étape 3 : Renommage non authentifié de fichier

Étape 4 : Traversement de chemin (CRITIQUE - Supprimination de wp-config.php)

Remédiation

Actions immédiates

1. Mettre à jour le plugin : Mettez à niveau vers la version 6.3.8 ou supérieure de Simple File List
2. Vérifier les compromissions : Auditez le système de fichiers pour détecter des modifications non autorisées
3. Restaurer les sauvegardes : Si wp-config.php a été affecté, restaurez à partir d'une sauvegarde

Atténuations temporaires (si la mise à jour n'est pas immédiatement possible)

1. Désactivez le plugin Simple File List jusqu'à ce qu'il soit corrigé
2. Supprimez toute page contenant le shortcode [eeSFL]
3. Implémentez des règles WAF pour bloquer les requêtes AJAX suspectes :
   root@kitploit:~

   # Block simplefilelist_edit_job AJAX calls
   <IfModule mod_rewrite.c>
       RewriteEngine On
       RewriteCond %{QUERY_STRING} action=simplefilelist_edit_job
       RewriteRule ^wp-admin/admin-ajax\.php$ - [F,L]
   </IfModule>
   

Recommandations à long terme

• Implémentez la validation de l'origine des requêtes (protection CSRF)
• Ajoutez des vérifications de capacités pour toutes les opérations sur les fichiers
• Limitez le débit des points de terminaison AJAX
• Surveillez les journaux pour détecter des opérations suspectes sur les fichiers

Références

• Wordfence Intelligence
• Page du plugin Simple File List
• Tronc SVN du plugin

Environnement de test

• Laboratoire : DDEV poloss-lab
• URL : https://poloss-lab.ddev.site
• Version du plugin testée : 6.3.7
• Version WordPress : Dernière (PHP 8.4)

Rapport généré par Claude Code - Laboratoire de tests de sécurité WordPress Date : 20 juin 2026