CVE-2024-4898-Poc

CVE-2024-4898 InstaWP Connect – 1-click WP Staging & Migration <= 0.1.0.38 - 認証欠如による未認証APIセットアップ/任意オプション更新/管理者ユーザー作成 https://www.wordfence.com/threat-intel/vulnerabilities/wordpress-plugins/instawp-connect/instawp-connect-1-click-wp-staging-migration-01038-missing-authorization-to-unauthenticated-api-setuparbitrary-options-updateadministrative-user-creation

ファイル: wp-content/plugins/instawp-connect/includes/class-instawp-rest-api.php image image image

ファイル: wp-content/plugins/instawp-connect/includes/class-instawp-tools.php image

Poc:

Administratorロールのユーザーを作成

APIキーを作成: https://app.instawp.io/user/api-tokens image

https://github.com/truonghuuphuc/CVE-2024-4898-Poc/assets/20487674/01be7c07-1894-4e70-9966-5ba7dce1fd2a