Технический анализ

Уязвимость находится в /wp-content/plugins/cibeles-ai/actualizador_git.php. Этот файл реализует систему зеркалирования репозиториев GitHub, которая доступна напрямую по HTTP без каких-либо средств защиты.

Анализ пути выполнения кода

1. Прямой доступ к файлу (строки 1–17): В файле отсутствует стандартная проверка ABSPATH для WordPress (if (!defined('ABSPATH')) exit;), которая предотвращает прямой HTTP-доступ. Параметры считываются напрямую из $_GET без проверки:

   root@kitploit:~

   $OWNER = $_GET['owner'] ?? 'cibeles';
   $REPO  = $_GET['repo']  ?? 'svn_cibeles-ai';
   $REF   = $_GET['ref']   ?? 'main';
   $TOKEN = $_GET['token'] ?? 'PON_AQUI_TU_TOKEN_PAT';
   

2. Проверка токена (строка 26): Единственная проверка — пустой ли токен или равен значению по умолчанию. Аутентификация или авторизация не производятся:

   root@kitploit:~

   if ($TOKEN === '' || $TOKEN === 'PON_AQUI_TU_TOKEN_PAT') { 
       http_response_code(400); 
       exit("Falta token\n"); 
   }
   

3. Запрос к GitHub API (строка 31, 35–58): Скрипт скачивает ZIP-архив из GitHub API, используя управляемые пользователем параметры:

   root@kitploit:~

   $apiUrl = "https://api.github.com/repos/{$OWNER}/{$REPO}/zipball/" . rawurlencode($REF);
   curl_download($apiUrl, $zip, $TOKEN);
   

   Функция curl_download() отправляет токен в заголовке Authorization, но не выполняет никакой проверки владельца репозитория или его содержимого.

4. Распаковка ZIP и файловые операции (строки 133–158): Скачанный ZIP-архив извлекается, а файлы копируются напрямую в каталог плагина:

   root@kitploit:~

   $zipArc->extractTo($extractDir);
   $rootInsideZip = $extractDir . DIRECTORY_SEPARATOR . $entries[0];
   rrcopy_into($rootInsideZip, $cwd);
   

   Функция rrcopy_into() рекурсивно копирует все файлы из извлечённого репозитория в текущий рабочий каталог (каталог плагина), перезаписывая существующие файлы.

5. Удаление файлов (строки 152–154): Файлы, отсутствующие в скачанном репозитории, удаляются:

   root@kitploit:~

   mirror_delete_extras($cwd, $keepSet, $PRESERVE);
   

   Функция mirror_delete_extras() удаляет любые файлы в каталоге плагина, которых нет в манифесте репозитория.

Подтверждение концепции