secforce/wptimecapsulepocWP Time Capsule < 1.21.16 において、認証バイパスの脆弱性が最近発見されました（https://www.webarxsecurity.com/vulnerability-infinitewp-client-wp-time-capsule/）。このPoCは、この問題がどのように発生し、どのように悪用され得るかを実証しています。
最近、WP Time Capsule < 1.21.16 に認証バイパスが発見されました（https://www.webarxsecurity.com/vulnerability-infinitewp-client-wp-time-capsule/）。このPoCは、この問題がどのように機能し、どのように悪用されるかを示します。
このPoCには2つの異なるオプションがあります：
poc.py http://127.0.0.1/
poc.py http://127.0.0.1 shell
wptc-cron-functions.php 内にあり、Wptc_Init コンストラクタによって呼び出される decode_server_request_wptc() 関数は、ボディで送信されたリクエストをデコードする際に、いかなる権限チェックも実行しません：
if( !empty($HTTP_RAW_POST_DATA_LOCAL)
&& strpos($HTTP_RAW_POST_DATA_LOCAL, 'IWP_JSON_PREFIX') !== false ){
wptc_log('', "--------IWP_JSON_PREFIX--coming------");
wp_cookie_constants();
wptc_login_as_admin();
}
単に、任意のPOSTリクエストのボディに文字列 IWP_JSON_PREFIX が含まれているかどうかをチェックし、含まれている場合は次のメソッドを呼び出します：
wp_cookie_constants();
wptc_login_as_admin();
wptc_login_as_admin() はすべての管理者ユーザーを取得し、最初のユーザーを取り出して、そのユーザー名のCookieを返します。
function wptc_login_as_admin(){
wptc_log(func_get_args(), "--------" . __FUNCTION__ . "--------");
wptc_define_admin_constants();
if( !function_exists('is_user_logged_in') ){
include_once( ABSPATH . 'wp-includes/pluggable.php' );
}
if(is_user_logged_in()){
return ;
}
$admins = get_users(array('role' => 'administrator'));
foreach ($admins as $admin) {
$user = $admin;
break;
}
if (isset($user) && isset($user->ID)) {
wp_set_current_user($user->ID);
// Compatibility with All In One Security
update_user_meta($user->ID, 'last_login_time', current_time('mysql'));
}
if(!defined('SECURE_AUTH_COOKIE')){
return;
}
$isHTTPS = (bool)is_ssl();
if($isHTTPS){
wp_set_auth_cookie($user->ID);
} else{
wp_set_auth_cookie($user->ID, false, false);
wp_set_auth_cookie($user->ID, false, true);
}
}
このテストでは以下を使用しました：
手順：
