saretawa/cve-2015-9357-pocPreuve de concept pour CVE-2015-9357 : XSS stocké dans l'analyseur d'émoticônes de WordPress qui contourne wp_kses, enchaîne la falsification de nonce pour créer des comptes administrateur. Usage éducatif uniquement.
XSS stocké dans le parseur de smileys/émoticônes de WordPress, création d'un utilisateur administrateur via une requête nonce forgée.
Sort du contexte de l'attribut <a href> via la regex des émoticônes, place du js dans un gestionnaire onerror. aucun tag script nécessaire, survit au filtrage wp_kses sur le champ affecté.
chaîne : soumettre la charge utile dans n'importe quel champ qui subit la conversion en smiley, l'admin le consulte, le xss s'exécute dans sa session, récupère le nonce de création d'utilisateur depuis user-new.php, publie un nouveau compte administrateur, confirme via la connexion.
usage en laboratoire/éducatif uniquement. nécessite que le champ cible applique réellement la conversion en smiley de wordpress, varie selon le thème/plugin.
divulgation originale de la vulnérabilité : https://blog.sucuri.net/2015/10/security-advisory-stored-xss-in-akismet-wordpress-plugin.html
python3 CVE-2015-9357.py -t https://target -l LHOST -p LPORT \
--endpoint https://target/wp-admin/admin-ajax.php \
--field message --action <ajax_action> --nonce <nonce> \
--data "name=a,[email protected],phone=a"
--endpoint / --field dépendent de l'endroit où se trouve réellement l'entrée vulnérable (commentaires, formulaire de contact, etc.), localisez-la manuellement d'abord.
sortie en cas de succès : identifiants admin (pwned / Password123!) et url wp-admin.