CVE-2020-36708 – WordPress Epsilon Framework 関数インジェクション PoC

概要

CVE-2020-36708 は WordPress 用 Epsilon Framework の脆弱性であり、認証されていない攻撃者が AJAX アクション epsilon_framework_ajax_action を介して任意の PHP クラスメソッドを呼び出せるようにします。

この問題は、攻撃者が以下の両方を制御できるため、関数インジェクション脆弱性 に分類されます。

• 呼び出すクラス（例: Requests）

• 呼び出すメソッド（例: request_multiple）

• 渡す引数

実質的に、攻撃者はフレームワークに対して、公開を意図していない PHP 関数やライブラリ呼び出しを実行するよう指示できます。

これを実証する最も簡単で破壊的でない方法は、同梱されている Requests ライブラリを悪用して SSRF（Server-Side Request Forgery）をトリガーすることです。サーバーに管理下のドメインへの Web リクエストを強制することで、ターゲットシステムに影響を与えずに任意の関数実行を確認できます。

Burp pro が利用できない場合は、代わりに webhook.site を使用してください。

この PoC は教育目的および許可を得たペネトレーションテストのみを対象としています。

明示的な許可がないシステムに対して使用しないでください。