WP Elementor 3.6.0/1/2 Execução Remota de Código

Google Dork: none
Date: April 16 2022
Exploit Author: AkuCyberSec (https://github.com/AkuCyberSec)
Vendor Homepage: https://elementor.com/
Software Link: https://wordpress.org/plugins/elementor/advanced/ (scroll down to select the version)
Version: 3.6.0, 3.6.1, 3.62
Tested on: WordPress 5.9.3 (os-independent since this exploit does NOT provide the payload)
CVE : CVE-2022-1329

DESCRIÇÃO DA VULNERABILIDADE

O plugin WordPress chamado Elementor (v. 3.6.0, 3.6.1, 3.6.2) possui uma vulnerabilidade que permite que qualquer usuário autenticado envie e execute qualquer arquivo PHP.

Essa vulnerabilidade, no OWASP TOP 10 2021, está posicionada em #1 (Controle de Acesso Quebrado)

O arquivo que contém essa vulnerabilidade é elementor/core/app/modules/onboarding/module.php

No final deste arquivo, você pode encontrar este código:

add_action( 'admin_init', function() {
		if ( wp_doing_ajax() &&
			isset( $_POST['action'] ) &&
			isset( $_POST['_nonce'] ) &&
			wp_verify_nonce( $_POST['_nonce'], Ajax::NONCE_KEY )
		) {
			$this->maybe_handle_ajax();
		}
	} );

Este código é acionado sempre que QUALQUER conta de usuário visita /wp-admin

Para que funcione, precisamos das seguintes 4 coisas:

1. A chamada deve ser uma "ajax call" (wp_doing_ajax()) e o método deve ser POST. Para fazer isso, só precisamos chamar /wp-admin/admin-ajax.php
2. O parâmetro "action" deve ser "elementor_upload_and_install_pro" (confira a função chamada maybe_handle_ajax() no mesmo arquivo)
3. O parâmetro "_nonce" deve ser obtido após o login, inspecionando a página /wp-admin (este exploit faz isso na função DoLogin)
4. O parâmetro "fileToUpload" deve conter o arquivo ZIP que queremos enviar (confira a função chamada upload_and_install_pro() no mesmo arquivo)

O arquivo que enviamos deve ter a seguinte estrutura:

1. Deve ser um arquivo ZIP. Você pode nomeá-lo como quiser.
2. Deve conter uma pasta chamada "elementor-pro"
3. Essa pasta deve conter um arquivo chamado "elementor-pro.php"

Este arquivo será o SEU payload (ex.: PHP Reverse Shell ou qualquer outra coisa)

AVISO: O plugin falso que enviamos será ativado pelo Elementor; isso significa que, cada vez que visitarmos qualquer página, acionamos nosso payload.

Se ele tentar, por exemplo, conectar-se a um host offline, isso pode levar a uma Negação de Serviço (Denial of Service).

Para evitar isso, sugiro que você use alguma variável para ativar o payload.

Algo como isto (visite anypage.php?activate=1 para continuar com o payload real):

if (!isset($_GET['activate']))
return;