MDJM Event Management <= 1.7.8.3 - Upload Arbitrário de Arquivos Autenticado (Administrador+) via Parâmetro 'mdjm_email_upload_file'

O plugin MDJM Event Management do WordPress (versão 1.7.8.3 e anteriores) contém uma vulnerabilidade de upload arbitrário de arquivos que permite a administradores autenticados enviar arquivos PHP maliciosos para o servidor, podendo levar à execução remota de código.

TL;DR dos Exploits

Uma POC CVE-2026-7537.py é fornecida para demonstrar um atacante autenticado enviando shell.php e executando código remoto:

python3 ./CVE-2026-7537.py http://target-site.com admin password123
[+] Logging into: http://target-site.com/wp-admin
[+] Extracting nonce values...
[+] Uploading web shell: shell.php
[+] Web Shell Location: http://target-site.com/wp-content/uploads/2026/02/shell.php
[+]
[+] Executing test command: id
uid=33(www-data) gid=33(www-data) groups=33(www-data)

Descrição Técnica

A vulnerabilidade existe na função mdjm_send_comm_email() no recurso de comunicações. A funcionalidade de upload não possui validação adequada de arquivos ao processar anexos para comunicações por e-mail. Isso permite que usuários autenticados com a capacidade mdjm_comms_send (administradores e admins do MDJM por padrão) enviem arquivos arbitrários, incluindo arquivos PHP que podem ser executados no servidor.

Análise do Caminho de Ataque

Fonte: Entrada do usuário de $_FILES['mdjm_email_upload_file'] Sumidouro: move_uploaded_file($tmp_path, $file_path) em comms-functions.php#L248

A vulnerabilidade ocorre porque:

1. Registro de Rota: O formulário de comunicações é acessível a usuários com a capacidade send_comms via comms-functions.php#L24.
2. Verificação de Capacidade: A capacidade mdjm_comms_send é concedida a usuários com a permissão manage_mdjm via class-mdjm-permissions.php#L626.
3. Permissões Padrão da Função: A função de DJ (class-mdjm-roles.php#L97-L104) NÃO possui mdjm_comms_send por padrão - apenas administradores possuem.
4. Processamento de Ação: Os envios de formulários são processados através da função mdjm_process_actions() em admin-actions.php#L26.
5. Invocação do Handler: A ação aciona a função mdjm_send_comm_email() registrada em comms-functions.php#L300.
6. Verificação de Nonce: Embora a proteção CSRF exista via verificação de nonce em comms-functions.php#L235, nenhuma validação de arquivo é realizada em seguida.
7. Processamento de Entrada: Os dados de arquivo controlados pelo usuário de $_FILES['mdjm_email_upload_file'] são processados diretamente sem validação em comms-functions.php#L241-L251.
8. Manipulação de Arquivo: O nome do arquivo é obtido diretamente da entrada do usuário sem sanitização ou validação de extensão.
9. Armazenamento de Arquivo: Os arquivos são salvos no diretório de uploads do WordPress (/wp-content/uploads/YYYY/MM/) usando move_uploaded_file() sem verificações de segurança.

Localização do Código Vulnerável

Arquivo: includes/admin/communications/comms-functions.php#L241-L251

if ( isset( $_FILES['mdjm_email_upload_file'] ) && '' !== $_FILES['mdjm_email_upload_file']['name'] ) {
    $upload_dir = wp_upload_dir();

    $file_name = $_FILES['mdjm_email_upload_file']['name']; // phpcs:ignore WordPress.Security.ValidatedSanitizedInput.InputNotValidated
    $file_path = $upload_dir['path'] . '/' . $file_name;
    $tmp_path  = $_FILES['mdjm_email_upload_file']['tmp_name']; // phpcs:ignore WordPress.Security.ValidatedSanitizedInput.InputNotValidated

    if ( move_uploaded_file( $tmp_path, $file_path ) ) {
        $attachments[] = $file_path;
    }
}