CVE-2020-12077

MapPress Maps Pro < 2.53.9 - AJAX Actions의 잘못된 접근 제어로 인한 원격 코드 실행 (RCE)

설명

이 플러그인의 프로 버전은 여러 AJAX 작업을 등록하며, 이 작업들은 mappress_template.php의 'ajax_get', 'ajax_save', 'ajax_delete' 함수를 호출하지만 기능 검사와 nonce 검사가 부족합니다. 따라서 구독자와 같은 최소 권한을 가진 로그인한 공격자가 다음 작업을 수행할 수 있습니다:

• 실행 가능한 PHP 파일 (잠재적 백도어 포함) 업로드 및 원격 코드 실행: $_POST 요청을 wp-admin/admin-ajax.php로 보내고, 'action' 매개변수를 'mapp_tpl_save'로, 'name' 매개변수를 생성할 파일의 기본 이름으로, 'content' 매개변수를 실행 가능한 PHP 코드로 설정합니다. 이 파일은 현재 활성화된 테마의 디렉토리에 생성되어 실행될 수 있습니다.

• 사이트의 기존 PHP 파일 (예: wp-config.php) 삭제: $_POST 요청을 wp-admin/admin-ajax.php로 보내고, 'action' 매개변수를 'mapp_tpl_delete'로, 'name' 매개변수를 삭제할 파일의 기본 이름으로 설정합니다. 예를 들어, wp-config.php를 삭제하려면 디렉터리 트래버설 공격을 사용하여 'name' 매개변수를 '../../../wp-config'로 설정할 수 있습니다. 이로 인해 사이트가 초기화되어 공격자가 사이트를 완전히 제어할 수 있게 됩니다.

• 사이트의 기존 PHP 파일 (예: wp-config.php) 내용 보기: $_GET 요청을 wp-admin/admin-ajax.php로 보내고, 'action' 매개변수를 'mapp_tpl_get'으로, 공개할 파일의 'name' 매개변수를 설정합니다. 예를 들어, wp-config.php의 내용을 보려면 디렉터리 트래버설 공격을 사용하여 'name' 매개변수를 'set to’../../../../wp-config’'로 설정할 수 있습니다.

POC

python3 exploit.py --url http://wordpress.lan --username user --password useruser1 --code "<?php phpinfo(); ?>"