Análise Técnica

A vulnerabilidade existe em /wp-content/plugins/ai-feeds/actualizador_git.php. Este arquivo implementa um sistema de espelhamento de repositórios GitHub que pode ser acessado diretamente via HTTP sem quaisquer controles de segurança.

Análise do Caminho do Código

1. Acesso Direto ao Arquivo (Linha 1-17): O arquivo carece da verificação padrão do WordPress ABSPATH (if (!defined('ABSPATH')) exit;) que impede o acesso HTTP direto. Os parâmetros são lidos diretamente de $_GET sem validação:

   root@kitploit:~

   $OWNER = $_GET['owner'] ?? 'cibeles';
   $REPO  = $_GET['repo']  ?? 'svn_ai-feeds';
   $REF   = $_GET['ref']   ?? 'main';
   $TOKEN = $_GET['token'] ?? 'PON_AQUI_TU_TOKEN_PAT';
   

2. Validação do Token (Linha 26): A única validação verifica se o token está vazio ou é o valor padrão. Nenhuma autenticação ou autorização é realizada:

   root@kitploit:~

   if ($TOKEN === '' || $TOKEN === 'PON_AQUI_TU_TOKEN_PAT') { 
       http_response_code(400); 
       exit("Falta token\n"); 
   }
   

3. Requisição à API do GitHub (Linha 31, 35-58): O script baixa um arquivo ZIP da API do GitHub usando parâmetros controlados pelo usuário:

   root@kitploit:~

   $apiUrl = "https://api.github.com/repos/{$OWNER}/{$REPO}/zipball/" . rawurlencode($REF);
   curl_download($apiUrl, $zip, $TOKEN);
   

   A função curl_download() envia o token no cabeçalho Authorization, mas não realiza nenhuma validação do proprietário ou conteúdo do repositório.

4. Extração do ZIP e Operações de Arquivo (Linha 144-169): O ZIP baixado é extraído e os arquivos são copiados diretamente para o diretório do plugin:

   root@kitploit:~

   $zipArc->extractTo($extractDir);
   $rootInsideZip = $extractDir . DIRECTORY_SEPARATOR . $entries[0];
   rrcopy_into($rootInsideZip, $cwd, $PRESERVE);
   

   A função rrcopy_into() copia recursivamente todos os arquivos do repositório extraído para o diretório de trabalho atual (diretório do plugin), sobrescrevendo arquivos existentes.

5. Exclusão de Arquivos (Linha 164-165): Arquivos não presentes no repositório baixado são excluídos:

   root@kitploit:~

   mirror_delete_extras($cwd, $keepSet, $PRESERVE);
   

   A função mirror_delete_extras() exclui quaisquer arquivos no diretório do plugin que não existam no manifesto do repositório.

Prova de Conceito