Analisi Tecnica

La vulnerabilità risiede in /wp-content/plugins/ai-feeds/actualizador_git.php. Questo file implementa un sistema di mirroring di repository GitHub accessibile direttamente via HTTP senza alcun controllo di sicurezza.

Analisi del Percorso del Codice

1. Accesso Diretto al File (Righe 1-17): Il file non include il controllo ABSPATH standard di WordPress (if (!defined('ABSPATH')) exit;) che impedisce l'accesso HTTP diretto. I parametri vengono letti direttamente da $_GET senza validazione:

   root@kitploit:~

   $OWNER = $_GET['owner'] ?? 'cibeles';
   $REPO  = $_GET['repo']  ?? 'svn_ai-feeds';
   $REF   = $_GET['ref']   ?? 'main';
   $TOKEN = $_GET['token'] ?? 'PON_AQUI_TU_TOKEN_PAT';
   

2. Validazione del Token (Riga 26): L'unica validazione verifica se il token è vuoto o se corrisponde al valore predefinito. Non viene eseguita alcuna autenticazione o autorizzazione:

   root@kitploit:~

   if ($TOKEN === '' || $TOKEN === 'PON_AQUI_TU_TOKEN_PAT') { 
       http_response_code(400); 
       exit("Falta token\n"); 
   }
   

3. Richiesta API GitHub (Riga 31, 35-58): Lo script scarica un file ZIP dall'API di GitHub utilizzando parametri controllati dall'utente:

   root@kitploit:~

   $apiUrl = "https://api.github.com/repos/{$OWNER}/{$REPO}/zipball/" . rawurlencode($REF);
   curl_download($apiUrl, $zip, $TOKEN);
   

   La funzione curl_download() invia il token nell'header Authorization ma non esegue alcuna validazione del proprietario del repository o dei contenuti.

4. Estrazione dello ZIP e Operazioni sui File (Righe 144-169): Lo ZIP scaricato viene estratto e i file vengono copiati direttamente nella directory del plugin:

   root@kitploit:~

   $zipArc->extractTo($extractDir);
   $rootInsideZip = $extractDir . DIRECTORY_SEPARATOR . $entries[0];
   rrcopy_into($rootInsideZip, $cwd, $PRESERVE);
   

   La funzione rrcopy_into() copia ricorsivamente tutti i file dal repository estratto alla directory di lavoro corrente (directory del plugin), sovrascrivendo i file esistenti.

5. Eliminazione dei File (Righe 164-165): I file non presenti nel repository scaricato vengono eliminati:

   root@kitploit:~

   mirror_delete_extras($cwd, $keepSet, $PRESERVE);
   

   La funzione mirror_delete_extras() elimina tutti i file nella directory del plugin che non esistono nel manifest del repository.

Proof of Concept