orangmuda/cve-2019-15858Неаутентифицированное удалённое выполнение кода в Woody Ad Snippets (PoC)
Неаутентифицированное удалённое выполнение кода в Woody Ad Snippets (PoC)
Уязвимость неаутентифицированного импорта параметров в сочетании с уязвимостью хранимого XSS может привести к удалённому выполнению кода в WordPress-плагине Woody Ad Snippets (более 90 000 активных установок). Woody Ad Snippets — это плагин, который позволяет администраторам вставлять любой код, текст или рекламу по условиям в своём блоге: JS, CSS, HTML и даже PHP-код. В версии 2.2.4 и ниже он был подвержен двум уязвимостям, которые при случайной активации администратором в бэкенде WordPress позволяли атакующему выполнить произвольный PHP-код для компрометации сайта и его базы данных.
usage: python exploit.py sites.txt payload.json
