CVE-2020-36708 – WordPress Epsilon Framework Function Injection PoC

Visão Geral

CVE-2020-36708 é uma vulnerabilidade no Epsilon Framework para WordPress que permite que atacantes não autenticados invoquem métodos arbitrários de classes PHP por meio da ação AJAX epsilon_framework_ajax_action.

Este problema é categorizado como uma vulnerabilidade de injeção de função, pois um atacante controla ambos:

• A classe a chamar (ex.: Requests)
• O método a invocar (ex.: request_multiple)
• Os argumentos a fornecer

Na prática, o atacante pode direcionar o framework para executar funções PHP ou chamadas de bibliotecas que não deveriam ser expostas.

A forma mais direta e não destrutiva de demonstrar isso é abusar da biblioteca Requests incluída para acionar um SSRF (Server-Side Request Forgery — Falsificação de Solicitação do Lado do Servidor). Ao forçar o servidor a fazer uma solicitação web para um domínio controlado, confirmamos a execução arbitrária de funções sem impactar o sistema alvo.

Se o Burp Pro não estiver disponível, use webhook.site em seu lugar.

Este PoC é apenas para fins educacionais e testes de penetração autorizados. Não o utilize contra sistemas sem permissão explícita.