CVE-2025-57055: WonderCMS 3.5.0 में प्रमाणित दूरस्थ कोड निष्पादन

भेद्यता यांत्रिकी

WonderCMS v3.5.0 में एक प्रमाणित दूरस्थ कोड निष्पादन (RCE) भेद्यता मौजूद है।

यह समस्या एप्लिकेशन द्वारा JSON डिस्क्रिप्टर के माध्यम से दूरस्थ थीम/मॉड्यूल इंस्टॉलेशन को संभालने के तरीके से उत्पन्न होती है। जब कोई व्यवस्थापक एक ZIP संग्रह का संदर्भ देने वाली दूरस्थ JSON फ़ाइल सबमिट करता है, तो उसकी सामग्री वेब-सुलभ निर्देशिका (जैसे, /themes/) में निकाली जाती है। यदि ZIP में कोई PHP फ़ाइल है, तो वह फ़ाइल वेब पर सुलभ हो जाती है और निष्पादित की जा सकती है।

यह व्यवहार निम्नलिखित कारणों से RCE जोखिम उत्पन्न करता है:

ZIP सामग्री पर सत्यापन या स्वच्छता का अभाव।
दूरस्थ स्रोतों से निकाली गई फ़ाइल प्रकारों पर कोई प्रतिबंध नहीं।
थीम/प्लगइन निर्देशिकाओं की वेब-सुलभता।

नोट: व्यवस्थापक प्रमाणीकरण आवश्यक है, लेकिन डिफ़ॉल्ट इंस्टॉलेशन व्यवस्थापक पासवर्ड को सार्वजनिक रूप से (होमपेज पर) उजागर करते हैं, केवल पासवर्ड लॉगिन का उपयोग करते हैं, और मजबूत प्रमाणीकरण नियंत्रण लागू नहीं करते हैं।

दूरस्थ मॉड्यूल/थीम डिस्क्रिप्टर के लिए स्वीकृति मानदंड

WonderCMS दूरस्थ मॉड्यूल/थीम स्वीकार करेगा और उन्हें स्थापित करने का प्रयास करेगा यदि सबमिट किया गया JSON डिस्क्रिप्टर अपेक्षित wcms-modules.json प्रारूप से मेल खाता है। एक डिस्क्रिप्टर जो प्रारूप जांच पास करता है (और एक ZIP संग्रह की ओर इशारा करता है) को लाया जाएगा और उसके संग्रह की सामग्री को फ़ाइल प्रकारों के आगे सत्यापन के बिना वेब-सुलभ निर्देशिका (जैसे, ) में निकाला जाएगा।

CVE-2025-57055

सबसे लोकप्रिय

अवधारणा का प्रमाण (PoC)

विक्रेता प्रतिक्रिया

शमन मार्गदर्शन

संदर्भ

अस्वीकरण