CVE-2016-15041 Lab - MainWP Dashboard Stored XSS

Laboratorio vulnerabile per CVE-2016-15041: XSS persistente non autenticata nel plugin MainWP Dashboard per WordPress <= 3.1.2.

Avvio rapido

docker compose up -d --build

Attendi circa 30 secondi per la configurazione automatica. Il laboratorio stampa un banner quando è pronto:

docker compose logs -f wordpress

Accesso

Convalida

Nuclei:

nuclei -t https://raw.githubusercontent.com/projectdiscovery/nuclei-templates/main/http/cves/2016/CVE-2016-15041.yaml -u http://localhost:8088

PoC manuale:

./scripts/poc.sh http://localhost:8088

Pulizia

docker compose down -v

Dettagli della vulnerabilità

Descrizione

La procedura guidata di configurazione rapida del MainWP Dashboard è accessibile senza autenticazione. Un attaccante può iniettare JavaScript tramite il parametro mwp_setup_purchase_username. Il payload viene memorizzato nelle opzioni di WordPress e renderizzato senza escaping quando un amministratore visualizza la pagina delle Estensioni.

Flusso dell'attacco

1. GET /wp-admin/admin-post.php?page=mainwp-setup&step=purchase_extension → ottiene il nonce CSRF (nessuna autenticazione richiesta)
2. POST payload XSS con il nonce (nessuna autenticazione richiesta)
3. L'amministratore visita la pagina delle Estensioni → JavaScript eseguito nel contesto amministrativo

Impatto

• Hijacking della sessione / furto di cookie
• Compromissione dell'account amministratore WordPress
• Esecuzione remota di codice tramite editor di temi/plugin

Riferimenti

• Klikki Advisory
• NVD

Note tecniche

Il plugin vulnerabile (v3.1.2) è stato ottenuto dalla revisione SVN di WordPress r1394563 (14 aprile 2016). Sono state applicate patch minori per la compatibilità con PHP 8 che non influiscono sulla vulnerabilità:

• Sostituito __autoload() deprecato con spl_autoload_register()
• Corretta la sintassi di accesso agli array con parentesi graffe

La vulnerabilità XSS esiste in view/view-mainwp-extensions-view.php alla riga 74 dove $username viene stampato senza esc_attr().