WordPress Plugin - Elementor 3.6.0 3.6.1 3.6.2 リモートコード実行


Ngày: 16 tháng 4 năm 2023
Khai thác Tác giả: Việt Hùng (https://github.com/phanthibichtram12)
Trang chủ của nhà cung cấp: https://elementor.com/
Link phần mềm: https://wordpress.org/plugins/elementor/advanced/ (kéo xuống chọn phiên bản)
Phiên bản: 3.6.0, 3.6.1, 3.62
Đã thử nghiệm trên: WordPress 5.9.3 (không phụ thuộc vào hệ điều hành vì cách khai thác này KHÔNG cung cấp tải trọng)
CVE : CVE-2022-1329

脆弱性の説明

Elementor という名前の WordPress プラグイン (v. 3.6.0, 3.6.1, 3.6.2) には、認証された任意のユーザーが任意の PHP ファイルをアップロードして実行できるようにする脆弱性があります。

この脆弱性は、OWASP TOP 10 2021 では第 1 位 (壊れたアクセス制御) に位置しています。

この脆弱性を含むファイルは elementor/core/app/modules/onboarding/module.php です。

このファイルの最後に、次のコードがあります:

add_action( 'admin_init', function() {
  nếu ( wp_doing_ajax() &&
  isset( $_POST['action'] ) &&
  isset( $_POST['_nonce'] ) &&
  wp_verify_nonce( $_POST['_nonce'], Ajax::NONCE_KEY )
  ) {
  $this->maybe_handle_ajax();
  }
  } );

このコードは、任意のユーザーアカウントが /wp-admin にアクセスするたびにトリガーされます。これを機能させるには、次の 4 つが必要です:

呼び出しは「ajax 呼び出し」(wp_doing_ajax()) である必要があり、メソッドは POST である必要があります。これを行うには、/wp-admin/admin-ajax.php を呼び出すだけです。
「action」パラメータは「elementor_upload_and_install_pro」である必要があります (同じファイル内の Maybe_handle_ajax() という関数を参照)。
「_nonce」パラメータは、ログイン後に /wp-admin ページを調べて取得する必要があります (このエクスプロイトは DoLogin 関数内でこれを実行します)。
「fileToUpload」パラメータには、アップロードする ZIP アーカイブが含まれている必要があります (同じファイル内の upload_and_install_pro() という関数を参照)。

アップロードするファイルは次の構造を持つ必要があります:

ZIP ファイルである必要があります。名前は任意に設定できます。
「elementor-pro」という名前のフォルダーを含める必要があります。
このフォルダーには、「elementor-pro.php」というファイルを含める必要があります。

このファイルがあなたのペイロードになります (例: PHP リバースシェルなど)。

警告: アップロードした偽のプラグインは Elementor によってアクティブ化されるため、どのページにアクセスするたびにペイロードがトリガーされます。たとえば、オフラインのサーバーに接続しようとすると、サービス拒否 (DoS) が発生する可能性があります。

これを防ぐには、変数を使用してペイロードをトリガーすることをお勧めします。以下のようなものです (実際のペイロードを続行するには Anypage.php?activate=1 にアクセスしてください):

if (!isset($_GET['activate']))
return;

CVE-2022-1329

人気

WordPress Plugin - Elementor 3.6.0 3.6.1 3.6.2 リモートコード実行

脆弱性の説明