Sfruttamento delle Vulnerabilità — Rapporto di Penetration Test di MegaQuagga

Analista: Samuel Weiss Organizzazione: 0x2A Security Data: 20 Aprile 2026 Cliente: MegaQuagga Publishing Target: www.megaquagga.local Classificazione: RISERVATO

Panoramica

Questo progetto documenta un penetration test strutturato condotto contro l'ambiente web di MegaQuagga Publishing. L'engagement ha confermato cinque vulnerabilità sfruttabili, due delle quali sono state concatenate per ottenere un'esecuzione di codice in remoto (RCE) non autenticata e stabilire una sessione Meterpreter persistente sul sistema target.

File

Ambito

In Ambito:

• Target primario: www.megaquagga.local
• Sottodomini associati vincolati al dominio megaquagga.local
• Stack dell'applicazione web: WordPress CMS, Apache 2.4.38, runtime PHP
• Plugin WordPress attivi

Fuori Ambito / Proibito:

• Sistemi di hosting di terze parti o condivisi
• Attacchi di forza bruta indiscriminati
• DoS/DDoS senza esplicita approvazione scritta
• Distruzione, alterazione o esfiltrazione di dati
• Ingegneria sociale o test di sicurezza fisica

Metodologia in Sei Fasi

Risultati

Vulnerabilità Critiche

F-01 — RCE non autenticata tramite plugin social-warfare (CVE-2019-9978)

• CVSS: 9.8 Critico
• Versione Plugin: social-warfare v3.5.2 (corretto in v3.5.3)
• Descrizione: Mancanza di sanificazione del parametro POST swp_url prima di passarlo a eval() lato server. Un attaccante non autenticato può eseguire codice PHP arbitrario senza alcuna credenziale.
• Impatto: RCE non autenticata completa come www-data; accesso in lettura a wp-config.php (credenziali del database), tutti i file ospitati e un punto di pivot di rete.

F-02 — Consegna e Persistenza di Reverse Shell tramite CVE-2023-4842

• CVSS: 9.8 Critico
• Descrizione: Concatenato con F-01 per consegnare un payload di reverse shell, stabilendo una connessione TCP in uscita che bypassa le regole del firewall in entrata.
• Impatto: Sessione Meterpreter stabile e persistente. Supporta accesso al filesystem, migrazione di processi e raccolta di credenziali. Sopravvive a brevi interruzioni di rete.

Vulnerabilità Aggiuntive (Medio–Alto)

• HTTPS assente — servizio HTTP non crittografato su TCP/80
• Interfaccia XML-RPC esposta — rischio di enumerazione delle credenziali e forza bruta
• Esposizione dei file predefiniti di WordPress e divulgazione dei nomi utente tramite pagine autore

Riepilogo della Catena di Attacco

[Attacker] → CVE-2019-9978 (swp_url injection) 
           → PHP payload executed server-side 
           → CVE-2023-4842 (reverse shell delivery) 
           → Meterpreter session established as www-data 
           → Read access to wp-config.php, all hosted files, potential lateral movement

Livello di Accesso Confermato: utente del server web www-data su megaquagga-web (Ubuntu x86_64)

Raccomandazioni per la Correzione

Descrizione GitHub

Rapporto di penetration test per MegaQuagga Publishing che documenta un engagement in sei fasi che ha concatenato CVE-2019-9978 e CVE-2023-4842 per ottenere un'esecuzione di codice in remoto non autenticata e una sessione Meterpreter persistente. Include metodologia completa, evidenze di sfruttamento e raccomandazioni prioritarie per la correzione.