Plugin WordPress - Elementor 3.6.0 3.6.1 3.6.2 Esecuzione Remota di Codice

Google Dork: none
Date: April 16 2022
Exploit Author: AkuCyberSec (https://github.com/AkuCyberSec)
Vendor Homepage: https://elementor.com/
Software Link: https://wordpress.org/plugins/elementor/advanced/ (scroll down to select the version)
Version: 3.6.0, 3.6.1, 3.62
Tested on: WordPress 5.9.3 (os-independent since this exploit does NOT provide the payload)
CVE : CVE-2022-1329

DESCRIZIONE DELLA VULNERABILITÀ

Il plugin WordPress chiamato Elementor (v. 3.6.0, 3.6.1, 3.6.2) presenta una vulnerabilità che consente a qualsiasi utente autenticato di caricare ed eseguire qualsiasi file PHP.

Questa vulnerabilità, nell'OWASP TOP 10 2021, è posizionata al #1 (Controllo di Accesso Rotto)

Il file che contiene questa vulnerabilità è elementor/core/app/modules/onboarding/module.php

Alla fine di questo file puoi trovare questo codice:

add_action( 'admin_init', function() {
		if ( wp_doing_ajax() &&
			isset( $_POST['action'] ) &&
			isset( $_POST['_nonce'] ) &&
			wp_verify_nonce( $_POST['_nonce'], Ajax::NONCE_KEY )
		) {
			$this->maybe_handle_ajax();
		}
	} );

Questo codice viene attivato ogni volta che QUALSIASI account utente visita /wp-admin

Per funzionare abbiamo bisogno delle seguenti 4 cose:

1. La chiamata deve essere una "chiamata ajax" (wp_doing_ajax()) e il metodo deve essere POST. Per fare ciò, dobbiamo solo chiamare /wp-admin/admin-ajax.php
2. Il parametro "action" deve essere "elementor_upload_and_install_pro" (controlla la funzione chiamata maybe_handle_ajax() nello stesso file)
3. Il parametro "_nonce" deve essere recuperato dopo il login ispezionando la pagina /wp-admin (questo exploit lo fa nella funzione DoLogin)
4. Il parametro "fileToUpload" deve contenere l'archivio ZIP che vogliamo caricare (controlla la funzione chiamata upload_and_install_pro() nello stesso file)

Il file che carichiamo deve avere la seguente struttura:

1. Deve essere un file ZIP. Puoi chiamarlo come preferisci.
2. Deve contenere una cartella chiamata "elementor-pro"
3. Questa cartella deve contenere un file chiamato "elementor-pro.php"

Questo file sarà il TUO payload (es. PHP Reverse Shell o qualsiasi altra cosa)

ATTENZIONE: Il plugin falso che carichiamo verrà attivato da Elementor, questo significa che ogni volta che visitiamo una pagina qualsiasi attiviamo il nostro payload.

Se prova, ad esempio, a connettersi a un host offline, potrebbe portare a un Denial of Service.

Per evitare ciò, ti suggerisco di utilizzare una variabile per attivare il payload.

Qualcosa come questo (visita anypage.php?activate=1 per continuare con il payload effettivo):

if (!isset($_GET['activate']))
return;