Vitepos-CVE-Report

Divulgazione per CVE-2025-13156

CVE-2025-13156 - Vulnerabilità in Vitepos – Point of Sale (POS) per WooCommerce

Questo repository divulga una vulnerabilità scoperta in Vitepos – Point of Sale (POS) per WooCommerce <= 3.3.0, plugin WordPress sviluppato da appsbd.

🛠 Versione Affetta

• Prodotto: Vitepos – Point of Sale (POS) per WooCommerce
• Versione: ≤ v3.3.0
• URL: https://wordpress.org/plugins/vitepos-lite/

🔒 CVE Assegnato

🧾 Descrizione Dettagliata

CVE-2025-13156 — Caricamento Arbitrario di File Autenticato (Subscriber+)

• Componente Affetto: Server del sito
• Vettore di Attacco: Caricare file arbitrari sul server del sito interessato.
• Attivazione: Ciò rende possibile per attaccanti autenticati, con accesso di livello Subscriber o superiore, caricare file arbitrari sul server del sito interessato, consentendo l'esecuzione di codice remoto.

curl -k \
  'http://localhost:8080/wp-json/vitepos/v1/product/add-category' \
  -H 'Cookie: wordpress_logged_in_<your_hash>=<your_cookie>' \
-H 'X-WP-Nonce: <your_nonce>' \
  -F 'category_name=evil' \
  -F 'category_parent=0' \
  -F 'category_description=PoC-shell' \
  -F 'category_image=@./shell.php;filename="shell.php";type=application/octet-stream'

• Impatto: Qualsiasi utente autenticato (inclusi ruoli a bassi privilegi come Subscriber) può caricare file arbitrari su wp-content/uploads/// tramite gli endpoint REST esposti di Vitepos Lite. Su server dove l'esecuzione PHP è abilitata (o può essere riattivata tramite file di configurazione caricati), ciò porta all'esecuzione di codice remoto; anche quando l'esecuzione è bloccata, gli attaccanti possono ospitare payload malevoli o creare XSS persistente tramite file HTML/SVG caricati. Ciò di fatto fornisce a qualsiasi utente connesso primitive di scrittura di file arbitrari.

❓Motivo della vulnerabilità

Le route REST del plugin sotto /wp-json/vitepos/v1/product/... si basano su un controllo dei permessi permissivo che accetta di fatto qualsiasi utente connesso (is_user_logged_in()), ignorando se il chiamante è un utente POS o ha la capacità di gestire i termini di prodotto. Di conseguenza, ruoli a bassi privilegi (es. Subscriber) possono raggiungere endpoint come add-category/update-category.

• Proteggi ogni route REST con un permission_callback rigoroso che controlli current_user_can('manage_product_terms')
• Non fidarti del filename/Content-Type del client; usa wp_handle_upload() con una whitelist rigorosa (es. JPEG/PNG/WebP) e wp_check_filetype_and_ext(); rifiuta tipi sconosciuti o eseguibili.

Una nota

Non può essere posizionato direttamente sotto WebRoot, quindi potrebbe non avere successo in alcuni ambienti. Sotto Uploads di solito l'esecuzione PHP non è consentita, quindi ho pensato che non sarebbe stato possibile a meno che l'ambiente non fosse davvero strano. Non appena ho visto la stringa application/octet-stream nell'elenco dei MIME consentiti, ho avuto un brutto presentimento, ma ha davvero funzionato, sono rimasto sorpreso. In realtà il core di WordPress impedisce il caricamento di PHP, ma questo plugin implementava un'elaborazione personalizzata, quindi questa vulnerabilità potrebbe essere stata riprodotta. È un caso piuttosto raro.

🔍 Scopritore

Nome: MooseLove
Ruolo: Ricercatore di sicurezza indipendente / cacciatore di bug
Contatto: Disponibile su richiesta

📚 Riferimenti

• Prodotto: https://wordpress.org/plugins/vitepos-lite/

⚠️ Licenza

Questo avviso è fornito per la consapevolezza della sicurezza pubblica. Libero di condividere con attribuzione.