Vitepos-CVE-Report

Раскрытие информации о CVE-2025-13156

CVE-2025-13156 - Уязвимость в Vitepos – Point of Sale (POS) for WooCommerce

Этот репозиторий раскрывает информацию об уязвимости, обнаруженной в Vitepos – Point of Sale (POS) for WooCommerce <= 3.3.0, плагине WordPress, разработанном компанией appsbd.

🛠 Затронутая версия

• Продукт: Vitepos – Point of Sale (POS) for WooCommerce
• Версия: ≤ v3.3.0
• URL: https://wordpress.org/plugins/vitepos-lite/

🔒 Назначенный CVE

🧾 Подробное описание

CVE-2025-13156 — Аутентифицированная (Подписчик+) произвольная загрузка файлов

• Затронутый компонент: Сервер сайта
• Вектор атаки: Загрузка произвольных файлов на сервер затронутого сайта.
• Триггер: Это позволяет аутентифицированным злоумышленникам с уровнем доступа подписчика и выше загружать произвольные файлы на сервер затронутого сайта, что делает возможным удаленное выполнение кода.

curl -k \
  'http://localhost:8080/wp-json/vitepos/v1/product/add-category' \
  -H 'Cookie: wordpress_logged_in_<your_hash>=<your_cookie>' \
-H 'X-WP-Nonce: <your_nonce>' \
  -F 'category_name=evil' \
  -F 'category_parent=0' \
  -F 'category_description=PoC-shell' \
  -F 'category_image=@./shell.php;filename="shell.php";type=application/octet-stream'

• Воздействие: Любой аутентифицированный пользователь (включая низкопривилегированные роли, такие как Подписчик) может загружать произвольные файлы в wp-content/uploads/// через открытые REST-конечные точки Vitepos Lite. На серверах, где разрешено выполнение PHP (или где его можно повторно включить через загруженные конфигурационные файлы), это приводит к удаленному выполнению кода; даже если выполнение заблокировано, злоумышленники могут размещать вредоносные нагрузки или создавать сохраненный XSS через загруженные HTML/SVG. Это фактически дает любому вошедшему в систему пользователю примитивы произвольной записи файлов.

❓Причина уязвимости

REST-маршруты плагина в /wp-json/vitepos/v1/product/... полагаются на разрешительную проверку прав, которая фактически принимает любого вошедшего в систему пользователя (is_user_logged_in()), игнорируя, является ли вызывающий пользователем POS или имеет возможность управлять терминами продуктов. В результате низкопривилегированные роли (например, Подписчик) могут получить доступ к конечным точкам, таким как add-category/update-category.

• Защитите каждый REST-маршрут строгим permission_callback, который проверяет current_user_can('manage_product_terms')
• Не доверяйте имени файла/Content-Type от клиента; используйте wp_handle_upload() со строгим белым списком (например, JPEG/PNG/WebP) и wp_check_filetype_and_ext(); отклоняйте неизвестные или исполняемые типы.

Замечание

Поскольку файлы нельзя разместить непосредственно в корневой директории веб-сервера (WebRoot), в некоторых окружениях атака может не сработать. В каталоге uploads выполнение PHP обычно запрещено, поэтому, вероятно, это не сработает, если только окружение не является сильно нетипичным. Как только я увидел строку application/octet-stream в белом списке MIME, у меня возникло плохое предчувствие, но на самом деле это сработало, что было очень удивительно. Изначально ядро WordPress предотвращает загрузку PHP, но этот плагин реализовал собственную обработку, что позволило воспроизвести данную уязвимость. Это довольно редкий случай.

🔍 Обнаружитель

Имя: MooseLove
Роль: Независимый исследователь безопасности / охотник за багами
Контакт: Доступен по запросу

📚 Ссылки

• Product: https://wordpress.org/plugins/vitepos-lite/

⚠️ Лицензия

Данное уведомление предоставлено для повышения общественной осведомленности в области безопасности. Разрешается свободное распространение с указанием авторства.